Autenticação adaptativa

Em resumo

A autenticação adaptativa é o esquema em que a exigência da autenticação varia conforme o risco estimado de cada tentativa ou operação. Um acesso rotineiro a partir do dispositivo de sempre passa sem atrito; uma transferência incomum a partir de um dispositivo novo pede um fator mais forte.

Também é chamada de autenticação baseada em risco. O nome descreve bem a mudança de fundo: a política deixa de ser uma regra fixa por tela e passa a ser uma decisão por evento.

A decisão é construída com sinais, não com uma única condição

Nenhum sinal basta por si só. A qualidade do esquema depende de quantos deles estão efetivamente disponíveis no momento de decidir, o que é uma restrição de arquitetura antes de ser de política.

• Dispositivo — se é um equipamento conhecido e associado a essa pessoa, ou um visto pela primeira vez.
• Rede e localização — a origem da conexão, e sobretudo sua mudança brusca em relação ao comportamento habitual.
• Comportamento — padrões de uso, horários, ritmo da interação.
• A operação — o valor, o destinatário, se é a primeira vez que aparece, se envolve dados de contato ou de segurança.
• Estado da sessão — há quanto tempo a pessoa se autenticou e qual fator usou naquele momento.

Uma mudança de dados de contato merece atenção especial, porque costuma ser o passo anterior à tomada de controle de uma conta: quem muda o telefone associado redireciona, de quebra, todos os fatores que chegam a esse telefone.

Os desfechos possíveis são três

A política avalia os sinais e produz uma decisão. Nomear os três desfechos evita o erro de design mais comum, que é ter apenas o primeiro e o terceiro.

• Permitir — o risco estimado é baixo e a operação segue sem atrito adicional.
• Elevar a exigência — um fator adicional ou mais forte é pedido antes de continuar. É o step-up, e é o desfecho que dá sentido a todo o esquema.
• Bloquear — a operação é interrompida ou encaminhada para revisão manual.

A elevação é o que permite aumentar o nível médio de segurança sem aumentar o atrito médio. Um esquema que só permite ou bloqueia obriga a escolher entre pedir demais de todo mundo ou deixar passar o que deveria ser olhado com mais cuidado.

Para que a elevação funcione, é preciso ter fatores de força diferente disponíveis no mesmo fluxo. É a conexão direta com o MFA: a autenticação adaptativa decide quando, e o inventário de fatores determina o que se pode pedir.

A autenticação adaptativa não é o monitoramento de fraude, e precisam uma da outra

As duas avaliam risco com sinais parecidos e atuam em momentos distintos.

• Autenticação adaptativa — decide no momento do acesso ou da operação, antes de executá-la, e sua resposta é pedir mais alguma coisa à pessoa.
• Proteção contra fraude — avalia a operação com regras e modelos, em tempo real ou depois, e sua resposta é aprovar, reter ou alertar.

O ponto de contato é a evidência. Um mecanismo de fraude que não sabe com qual fator a pessoa se autenticou avalia às cegas metade do contexto, e uma política de acesso que não vê o histórico de risco daquela conta decide com a outra metade. É a razão prática pela qual convém que as duas camadas consultem a mesma identidade digital em vez de cada uma manter seu próprio registro.

O que cobre e o que não cobre

Convém ser preciso quanto ao alcance, porque o termo é vendido com frequência como se resolvesse toda a categoria.

Cobre bem o acesso a partir de um dispositivo desconhecido, que é o que se segue a um credential stuffing bem-sucedido, e as operações sensíveis dentro de uma sessão de aparência legítima.

Não cobre um ataque de phishing em que a pessoa entrega em tempo real o fator que lhe foi pedido para elevar. A exigência subiu e o atacante a satisfez, com a colaboração involuntária do titular.

Também não cobre o que ocorre no meio de uma sessão já estabelecida e sem operações que disparem a avaliação. É a brecha que a autenticação contínua aborda.