Proteja as suas contas com autenticação de dois fatores (2FA)

Há muitos anos, o email de um amigo foi pirateado e comecei a receber mensagens falsas a dizer que estava retido num país estrangeiro e precisava que lhe enviassem dinheiro o mais depressa possível. Isto fez-me pensar: só o acesso ao meu email permitiria obter informações sensíveis e, a partir dessas mensagens, aceder a outros sites. Indiretamente, poderiam ser efetuadas reposições de palavras-passe através desse endereço de email para aplicações ou sites que não são da Google. Também seria possível aceder a aplicações que utilizam a conta Google como forma de iniciar sessão. É realmente um pouco assustador.

Foi então que tomei verdadeiramente consciência da autenticação de 2 fatores (2FA). A segurança 2FA assenta em 2 elementos: algo que sabe, o nome de utilizador e a palavra-passe, e algo que possui, geralmente um código enviado para uma conta de email associada, um SMS para um número de telemóvel associado ou uma aplicação de autenticação no dispositivo que gera códigos com validade limitada.

Uma aplicação gera, em tempo real, um código com validade limitada, associado à sua conta, para introduzir. O sistema é muito semelhante aos tokens RSA mais utilizados em contextos comerciais e empresariais para autenticação em 2 passos. Permite criar códigos para várias contas, aplicações e sites, entre os quais Google Accounts, Microsoft Accounts, Paypal, Dropbox, Evernote, Twitter e Reddit.

O autenticador cria um código de 6 dígitos que muda a cada 30 segundos. Assim, mesmo que a sua palavra-passe seja comprometida, o potencial ladrão ainda precisa de obter o seu telemóvel e o autenticador para se apoderar da conta. Até os programas de registo de teclas só conseguirão captar o nome de utilizador e a palavra-passe, mas não o código, pois o código de verificação introduzido só é válido durante 30 segundos em qualquer momento.

Existem vários autenticadores, incluindo versões da Microsoft e da Google , mas a minha escolha pessoal é o Authy por oferecer várias vantagens em relação às alternativas, como funcionar facilmente em vários dispositivos e ser fácil de transferir para um novo dispositivo quando deixa de utilizar o antigo.

Pode parecer incómodo introduzir um código sempre que inicia sessão num site, mas muitos sites ou aplicações permitem manter a confirmação durante 30 dias ou mais se utilizar o mesmo dispositivo. No entanto, sempre que alguém, incluindo o próprio utilizador, acede ao site num novo dispositivo ou a partir de um novo navegador, será pedido um novo código de autenticação.

Num computador público, certifique-se de que NÃO utiliza a opção «multiday/remember device». Assim, quando outra pessoa iniciar sessão nesse computador, mesmo que consulte o histórico e encontre a sua conta, o nome de utilizador e a palavra-passe, terá de introduzir outro código de verificação atual, ao qual não terá acesso.

Um bom exemplo é a minha utilização do GL.iNet Goodcloud para gerir vários dispositivos. Imagine que um hacker obtinha o meu nome de utilizador e a palavra-passe do Goodcloud e podia gerir e manipular os meus dispositivos. Felizmente, o site suporta 2FA.

Este é o ecrã inicial de início de sessão: algo que sei, o meu nome de utilizador e a palavra-passe.

Agora pede-me algo que possuo: um código 2FA da aplicação de autenticação no meu dispositivo, associada à conta Goodcloud.

E aqui está: a minha aplicação de autenticação Authy (versão para computador) fornece um código válido durante 30 segundos (nota: o código acima só é válido nos próximos 15 segundos). Vale a pena referir que a minha aplicação Authy também está protegida por impressão digital.

Se introduzir o código errado ou ultrapassar os 30 segundos de validade, não conseguirá entrar, quer seja o próprio utilizador ou um hacker.

O código Authy muda 15 segundos depois. Por isso, este seria o código que teria de introduzir se me tivesse enganado na primeira tentativa ou ultrapassado o prazo de validade.

Com o código certo, consigo entrar no Goodcloud.

Lembre-se: proteger o acesso às contas, aplicações e outras informações é tão importante, se não mais, como proteger a transmissão dos dados com ferramentas como VPNs.

Se puder proteger as suas contas com alguma forma de 2FA, seja por email, SMS ou aplicação, utilize-a. Essa camada adicional poderá proteger os seus dados ou até levar o hacker a procurar outra conta mais fácil de atacar, por não estar protegida.

A configuração e a utilização podem dar um pouco mais de trabalho, mas, para mim, o tempo adicional vale bem a pena pela tranquilidade acrescida.