Autenticação em dois passos em palavras simples: o que protege mesmo
A 16 de agosto a corretora israelita de criptomoedas Bits of Gold comunicou que um intruso chegou aos registos de clientes através do sistema de um fornecedor: nomes, números de identificação, endereços de correio, telefones, endereços IP e dados bancários de cerca de 200.000 pessoas. As palavras-passe e as digitalizações de documentos não foram tocadas, o que soa tranquilizador até se olhar para a composição do saque. Um telefone, um número de identificação e uma morada real são exatamente o conjunto necessário para convencer um operador a passar a sua linha para um novo cartão SIM. E o número de telefone continua a ser, para a maioria, o segundo fator.
Três níveis, e bem afastados uns dos outros
Tudo o que se vende como autenticação de dois fatores cai em três grupos, e a distância entre eles é muito maior do que a interface sugere.
Código por SMS
- Está ligado ao seu número, não a si.
- Cai com a troca de SIM: o número muda-se e os códigos vão atrás.
- Ainda assim é melhor do que nada e melhor do que ficar sem segundo fator.
Aplicação de códigos
- Seis dígitos calculados no próprio aparelho, sem rede.
- Um número roubado não dá nada ao atacante.
- Mas o código pode ser entregue num site falso: é você que o escreve.
Chave ou passkey
- Verifica o endereço verdadeiro do site antes de responder.
- Num domínio imitado fica simplesmente calada, e a burla acaba ali.
- Nada para escrever e nada para ditar ao telefone.
Porque é o SMS que cai primeiro
A troca de SIM não é pirataria em sentido técnico. Alguém contacta o seu operador, diz o seu nome, o número do documento e detalhes suficientes para soar credível, comunica a perda do telemóvel e pede a linha num cartão novo. Minutos depois o seu telemóvel fica sem rede e os códigos chegam a outro lado. Cada fuga como a descrita acima baixa o custo dessa conversa, e por isso as notícias de fugas e os roubos de contas aparecem na mesma semana.
Há um segundo problema, mais silencioso. Um código que você escreve é um código que lhe podem sacar. Uma cópia convincente da página de entrada pede a palavra-passe, depois o código, e passa ambos ao site verdadeiro em segundos. Por isso conta o terceiro nível: a chave e a passkey verificam o domínio sozinhas e ficam caladas perante a imitação, por muito convencido que esteja.
O que fazer esta noite
- Comece pelo correio, não pelo banco. Quem controla a sua caixa repõe quase tudo o resto, por isso merece a proteção mais forte que estiver disposto a configurar.
- Passe todas as contas possíveis de SMS para uma aplicação de códigos. Nas definições de segurança costuma ser um ecrã com um código QR, um minuto por conta.
- Guarde os códigos de recuperação fora de linha. Imprima-os ou copie-os e ponha-os onde guarda os documentos. Tê-los apenas no mesmo gestor onde está a palavra-passe significa perder ambos com um aparelho.
- Registe um segundo fator de reserva: uma chave física barata ou uma passkey noutro aparelho. Onde se aceita uma aceitam-se duas, e é a reserva que salva quando o telemóvel desaparece.
- Verifique os dados de recuperação. Um número antigo ou uma caixa secundária abandonada é uma entrada que sobrevive a tudo o resto.
- Onde lhe oferecerem "entrar com passkey", aceite. É a mesma proteção de uma chave física, guardada no telemóvel ou no gestor, e tira a palavra-passe do processo em vez de acrescentar um passo.
- Termine as sessões que não reconhece, no mesmo ecrã de definições. O segundo fator não ajuda contra uma sessão aberta há um ano.
Antes de mudar de telemóvel. Os códigos da aplicação vivem no aparelho, não na nuvem por si só, por isso um telemóvel apagado leva-os consigo. A ordem é esta: transfira ou exporte os dados da aplicação para o telemóvel novo enquanto o antigo ainda funciona, confirme que duas ou três contas abrem mesmo, e só depois apague o antigo. Se saltou esse passo, os códigos de recuperação são o caminho de volta, e é precisamente por isso que devem existir em papel.
O que instalar em concreto
Os nomes contam menos do que três propriedades: os códigos podem mudar-se para um telemóvel novo, o código do programa foi visto por alguém além do autor, e a aplicação funciona em todos os seus aparelhos. Encaixam aplicações abertas e gratuitas: Ente Auth funciona em telemóvel e computador com sincronização cifrada ponta a ponta, Aegis é a escolha habitual no Android com cópia local cifrada, 2FAS guarda a cópia no seu próprio iCloud ou Drive. As soluções integradas da Apple e da Google são cómodas e suficientemente seguras, com uma ressalva: os códigos passam a viver dentro de um ecossistema e saem de lá com dificuldade.
Um aviso sobre um nome conhecido. O Authy fechou a aplicação de computador e continua sem permitir exportar os códigos, por isso as contas ali adicionadas ficam presas de facto. Se o usa, não entre em pânico, mas crie as contas novas noutro sítio e mude as antigas quando tiver uma noite livre.
Gestores como Bitwarden, 1Password e Proton Pass também guardam códigos e passkeys, e isso é mesmo prático. Perceba a troca: palavra-passe e segundo fator no mesmo cofre significa que uma só palavra-passe principal protege ambos. Para as contas que mais lhe importam, mantenha-os separados.
Nas chaves físicas o mercado é pequeno e aborrecido, o que é bom. A YubiKey 5 com NFC e USB-C é a escolha por omissão e serve com telemóvel e computador; a Google Titan é a alternativa direta; Token2 e Nitrokey custam bastante menos. Compre duas de uma vez, registe ambas e guarde a suplente onde guarda os documentos. Compre ao fabricante ou a um revendedor autorizado e não como lote num marketplace: uma chave é exatamente aquilo que não deve passar por mãos desconhecidas.
O que é realmente uma passkey
Uma passkey é um par de chaves: uma fica no seu aparelho, a outra no serviço. Entrar significa que o telemóvel ou o computador prova que tem a sua metade, desbloqueada com impressão digital ou rosto. Não se escreve nada, por isso não há nada para ditar ao telefone nem para introduzir numa cópia do site, e não fica um segredo partilhado numa base de dados à espera de fugir. O pormenor prático é a portabilidade: as passkeys sincronizam dentro de um ecossistema ou de um gestor de palavras-passe, por isso antes de depender de uma confirme que lhe chega a partir de um segundo aparelho.
Se mesmo assim ficar de fora
A recuperação é a parte que todos saltam e de que todos precisam. Descubra antecipadamente para onde cada serviço o envia: códigos de recuperação, uma segunda chave registada, uma caixa de recurso ou um formulário de apoio com verificação de documentos. Para as suas duas ou três contas mais importantes, anote a resposta. São dez minutos agora em vez de uma tarde péssima depois, e faz-se enquanto há acesso, não enquanto prova a uma fila de apoio que é quem diz ser.
Nada disto torna uma conta inexpugnável, nem é essa a intenção. Tira-o do grupo que basta um telefone divulgado para esvaziar e, depois de um verão de fugas como aquela que expôs 24 mil milhões de palavras-passe, é para esse grupo que vai o tráfego.
