Autenticação de dois fatores: exemplos para concursos

Autenticação de dois fatores combina fatores de categorias diferentes para verificar a identidade. Por exemplo, uma senha e um dispositivo autenticador. Pedir duas senhas pode criar duas etapas, mas continua usando apenas a categoria de conhecimento: algo que a pessoa sabe.

Autenticação de dois fatores: quais são as categorias?

Para estudar o tema, organize os fatores em três grupos: conhecimento, posse e característica pessoal. Uma senha é algo conhecido; um dispositivo ou chave de segurança representa algo possuído; uma característica biométrica representa algo que a pessoa é.

A classificação considera o que serve de evidência para autenticar, não somente quantas telas aparecem. Um fluxo pode pedir mais de uma informação e ainda depender de um único tipo de fator. Esse é o centro da comparação em questões conceituais.

Duas senhas não equivalem a duas categorias

Imagine um sistema que solicita senha de acesso e uma resposta secreta memorizada. As duas informações pertencem à categoria conhecimento. O usuário passou por duas perguntas, mas o enunciado não descreveu duas categorias distintas de fatores.

Agora compare senha e código gerado por aplicativo autenticador em um dispositivo previamente cadastrado. Nessa situação, o acesso combina conhecimento da senha com a posse do autenticador. O número de dígitos do código não é o critério: importa o vínculo com o dispositivo e a implementação.

Também não confunda nome de usuário com segredo de autenticação. Em muitos serviços, o identificador apenas informa qual conta se pretende acessar. Digitar nome e senha não caracteriza automaticamente dois fatores.

Verificação em duas etapas e códigos de recuperação

Serviços usam expressões como verificação em duas etapas para descrever uma camada adicional de confirmação. Na leitura técnica de uma questão, duas etapas e dois fatores não devem ser considerados equivalentes sem examinar quais evidências foram exigidas.

Considere o caso didático: um aplicativo pede senha e depois outra senha. Há duas etapas descritas, mas somente conhecimento. Se pede senha e confirmação por uma chave de segurança cadastrada, aparecem categorias diferentes. O enunciado precisa trazer informações suficientes para essa análise.

Códigos de recuperação servem para situações previstas pelo serviço em que o método habitual não está acessível. Precisam ser guardados com cuidado. Um código que permite recuperar acesso não deve ser enviado a quem o solicita por mensagem alegando ser do suporte.

Mais proteção não significa invulnerabilidade

Adicionar outro fator dificulta o acesso indevido quando uma senha é descoberta. Contudo, não autoriza a frase “a conta nunca poderá ser comprometida”. Golpes podem tentar induzir a vítima a fornecer códigos ou aprovar uma solicitação que ela não iniciou.

Antes de aprovar uma confirmação, verifique se você iniciou aquele acesso. Uma sequência inesperada de pedidos não é motivo para aceitar apenas para parar as notificações. O comportamento do usuário continua relevante mesmo com recursos adicionais.

Para concursos, separe autenticação de autorização: a primeira verifica identidade; a segunda define o que a identidade pode fazer. Entrar com dois fatores não concede automaticamente permissão para editar, excluir ou administrar todos os recursos.

Exercícios comentados

Resolva os quatro exercícios didáticos antes de abrir as respostas. Eles foram elaborados para esta revisão; não são questões oficiais de uma banca.

Como levar esta diferença para a prova

Desenhe três caixas: sabe, possui e é. Coloque cada exemplo na caixa correspondente antes de contar fatores. Depois, confira se a pergunta trata da identidade ou das permissões concedidas após o acesso.

Continue estudando com phishing e engenharia social nas questões. Para treinar outras distinções, conheça os 200 Macetes para Não Cair em Pegadinhas de Concurso, com exemplos e questões comentadas.

Dúvidas ou sugestões de correção? Fale com a Redação.