A importância da autenticação multifator (AMF)

A exigência de autenticação multifator pode parecer onerosa, mas as organizações que implementam um plano AMF podem proteger-se melhor contra violações, roubo de dados e fraude.

É difícil não ver as notícias relacionadas com violações de dados. As violações de cibersegurança ocorrem regularmente, e resultam em enormes quantidades de nomes de utilizador e palavras-passe roubadas. De facto, mais de 80% dos ataques são o resultado de roubo de credenciais, muitas vezes originados por uma tentativa bem-sucedida de phishing por correio eletrónico.

Para além de roubarem as credenciais, os hackers estão também constantemente a tentar adivinhar passwords em portais para verem o que se passa. Tente criar uma página web básica com uma área de login num serviço Cloud; passado um dia, esses servidores estarão cheios de registos de tráfego proveniente de ferramentas automatizadas a tentar aceder com combinações de nomes de utilizador e palavras-passe comuns. Algumas destas ferramentas até usam combinações de nomes de utilizador e palavras-passe das últimas violações, o que significa que se os colaboradores estiverem a reutilizar credenciais de outros sites comprometidos, um hacker poderá facilmente obter acesso autenticado a uma organização enquanto funcionário - é tudo uma questão de tempo.

É evidente que o tradicional nome de utilizador e palavra-chave - um exemplo de autenticação de fator único - já não é suficiente para proteger os dados sensíveis de um indivíduo ou organização. Para reduzir o risco de credenciais e roubo e fraude de dados, as organizações devem considerar a adoção da autenticação multifator (AMF) como padrão de acesso à informação e outros recursos de todos os sistemas de tecnologia da informação (TI) que as organizações enfrentam externamente.

Como funciona a autenticação multifator (AMF)?

A autenticação multifator utiliza uma combinação de pelo menos dois dos três tipos de mecanismos independentes para autenticar que os utilizadores são quem dizem ser. Um mecanismo pode exigir algo que só o utilizador sabe, algo que só o utilizador tem, ou algo que só o utilizador é.

Obstáculos mais frequentes

As organizações têm demorado a adotar a autenticação multifatorial devido a múltiplos obstáculos, incluindo:

Custo de implementação: O custo do hardware necessário é considerado demasiado elevado para a segurança adicional que o AMF pode oferecer.
Custo de manutenção: Os orçamentos do departamento de TI por vezes não conseguem suportar o custo contínuo de aquisição, licenciamento, gestão, e manutenção de novos sistemas.
Falta de especialização ou capacidade de implementação: Os departamentos de TI têm por vezes conhecimentos ou capacidade insuficientes para implementar e manter a tecnologia frequentemente complexa.
Incómodo para o utilizador final: O passo adicional para autenticar é considerado um obstáculo pelos utilizadores finais cuja preocupação central não é a segurança.

Nos últimos anos, os fornecedores de AMF implementaram soluções otimizadas e mais acessíveis que abordam estes obstáculos de longa data. De facto, com a tendência de migrações recentes para o correio eletrónico e a solução de pacote de escritório Microsoft 365™ (antigo Office 365™), muitas organizações poderão ter autenticação multifatores para os serviços já incluídos no seu licenciamento.

Opções de implementação

As soluções dos fornecedores de AMF avançaram de tal forma que o utilizador já não precisa de transportar fisicamente uma chave fob ou um cartão inteligente. O mecanismo secundário de autenticação mais comum utiliza a tecnologia que a maioria das pessoas tem com eles constantemente: dispositivos móveis.

Os fornecedores dispõem agora de uma série de opções que as empresas podem escolher quando implementam a tecnologia AMF:

Notificações push: Um utilizador final instala uma aplicação num smartphone e aceita ou recusa pedidos para autenticar a sua identidade com o objetivo de aceder a recursos da empresa, o departamento de TI pode ser notificado de um potencial compromisso quando a autenticação é negada.

Envio de mensagens de texto: Quando um utilizador final tenta uma autenticação, uma mensagem de texto é enviada para esse utilizador. De seguida o utilizador responde, e depois recebe uma palavra-passe única.
Certificados: Um certificado é instalado no dispositivo de um utilizador final, tal como um portátil da empresa, e o dispositivo é considerado de confiança durante um certo período de tempo. Após expirar, o certificado é revogado e requer novamente a autenticação.
Chamadas telefónica: Um sistema automatizado liga para o número de telefone do utilizador final que consta em ficheiro, e este recebe uma palavra-passe única. As chamadas telefónicas têm a vantagem adicional de apoiar os utilizadores que não têm smartphones.

Embora nem todos os fornecedores de AMF ofereçam as soluções aqui descritas, a implementação da AMF é mais razoável e rentável para as organizações do que no passado, e a tecnologia continua a evoluir. Para aliviar os problemas de pessoal e os custos de gestão de hardware e software adicionais, os fornecedores de AMF também oferecem soluções de software cloud como um serviço. A tendência atual nos serviços AMF é de reduzir a gestão interna de TI que as organizações requerem e de tornar a autenticação mais fácil para o utilizador final.

Adotar a AMF

Se as restrições orçamentais impedem uma organização de adotar a autenticação multifatorial em todo o lado, a organização deve utilizar uma abordagem baseada no risco para implementar a tecnologia onde ela é mais necessária. A organização deve concentrar os esforços de implementação da AMF no maior vetor de ataque - ou seja, os serviços que a organização enfrenta externamente, tais como correio eletrónico, VPN’s e tecnologia de acesso remoto.