Autenticação contínua

Em resumo

A autenticação contínua é o esquema que continua avaliando, enquanto a sessão está aberta, se quem opera é a mesma pessoa que se autenticou no início. Em vez de tratar o acesso como um controle único na porta, trata a identidade da sessão como algo que se sustenta ou se perde com o tempo.

A comprovação é passiva. A pessoa não faz nada de novo, a não ser que algum sinal justifique interrompê-la.

O problema que uma sessão já autenticada abre

Toda autenticação produz uma sessão, e essa sessão é o que o sistema aceita depois como prova de identidade. O MFA mais exigente responde a uma pergunta em um instante e não pergunta de novo.

Aí ficam três brechas concretas.

• Roubo de sessão — quem obtém o token de sessão opera como o titular sem nunca ter passado pela autenticação. O controle da porta já aconteceu.
• Tomada do dispositivo — o equipamento desbloqueado muda de mãos, dentro de uma sessão legítima.
• Fraude assistida à distância — o titular é guiado por telefone para operar em benefício de outra pessoa. A pessoa certa faz a operação errada, e nenhuma comprovação de identidade detecta isso.

Os três compartilham a mesma característica: a autenticação funcionou. O que falhou foi supor que seu resultado continua válido uma hora depois.

O que se avalia enquanto a sessão segue aberta

Os sinais são de contexto e de comportamento, e são lidos sem pedir nada ao usuário.

• Biometria comportamental — o ritmo de digitação, a forma de rolar a tela, como o dispositivo é segurado. É um padrão estatístico, não uma identificação, e por isso funciona como sinal e não como prova.
• Contexto do dispositivo — mudanças no equipamento, na rede ou na sua postura de segurança durante a sessão.
• Consistência da sessão — se o token continua sendo usado a partir do mesmo dispositivo e em condições compatíveis com o início.
• Coerência da atividade — se o que está sendo feito se parece com o que essa pessoa costuma fazer.

Nenhum desses sinais identifica ninguém por si só. Seu valor está na mudança: o que importa não é como uma pessoa digita, mas que na metade da sessão ela comece a digitar diferente.

Contínua, adaptativa e reautenticação não são a mesma coisa

Os três termos se misturam nas conversas de produto e descrevem momentos diferentes.

• Reautenticação — pedir o fator de novo a cada certo tempo ou antes de uma operação determinada. É uma interrupção programada.
• [Autenticação adaptativa](/glosario/autenticacion-adaptativa) — avaliar o risco em um evento pontual, tipicamente o acesso ou uma operação sensível, e decidir se eleva a exigência.
• Autenticação contínua — avaliar de forma permanente, em segundo plano, e disparar uma das duas anteriores quando a evidência se degrada.

Juntas, a relação fica clara: a contínua é a que observa, e a adaptativa é a que age quando o observado deixa de fazer sentido. Uma sessão de SSO longa é justamente o caso onde essa combinação rende mais, porque a comodidade de não se autenticar de novo é também uma janela longa para quem rouba o token.

O monitoramento permanente acrescenta obrigações, não só capacidades

Avaliar comportamento de forma contínua implica tratar dados das pessoas enquanto usam o produto, e isso cai sob as normas de proteção de dados pessoais de cada país da região. É preciso poder responder o que se coleta, com que base legal, por quanto tempo se conserva e quem acessa.

É uma conversa com a área jurídica antes que com a área de produto. Um esquema de autenticação contínua que não a teve é uma dívida regulatória com forma de funcionalidade, especialmente em setores onde o mesmo regulador já exige conservar evidência do processo de identidade.