MFA

Em resumo

MFA são as siglas de multi-factor authentication, autenticação multifator. É a exigência de que uma pessoa prove sua identidade com dois ou mais fatores de categorias diferentes antes de acessar ou de concluir uma operação.

A palavra que faz o trabalho é categorias. Pedir dois dados que a pessoa sabe não é MFA: é uma senha mais longa dividida em dois campos.

Um fator pertence a uma de três categorias

A classificação tem décadas e continua sendo a única forma útil de saber se um esquema é realmente multifator.

• Algo que se sabe — uma senha, um PIN, uma resposta secreta. Pode ser adivinhado, vazado ou obtido por engano.
• Algo que se tem — um telefone, uma chave de segurança, um app de autenticação. Pode ser roubado ou, no caso de uma linha telefônica, transferido.
• Algo que se é — um traço biométrico como o rosto ou a voz. Não pode ser esquecido, e também não pode ser trocado se for comprometido.

Um esquema é multifator quando combina categorias, não quando soma etapas. Senha mais pergunta de segurança são duas etapas da mesma categoria. Senha mais OTP de app são duas categorias.

2FA é um caso particular de MFA

Os dois termos são usados como sinônimos, e não são exatamente a mesma coisa. MFA é o conceito: dois ou mais fatores de categorias diferentes. 2FA é a instância com exatamente dois.

Na prática, quase tudo que se chama de MFA em produto é 2FA. A distinção importa quando uma operação de alto valor justifica um terceiro fator, e o vocabulário precisa conseguir nomeá-lo sem inventar uma sigla nova.

Nem todos os fatores valem o mesmo

Tratar o MFA como uma caixa a marcar é o que produz esquemas ativos que mesmo assim são violados. O design está em qual fator cobre o quê.

• OTP por SMS — o mais fraco dos que são usados. O fator está atrelado à linha telefônica, e quem consegue que a operadora a transfira recebe todos os códigos. É o mecanismo do SIM swapping.
• OTP de app — o código é calculado no dispositivo e não trafega pela rede móvel. Elimina o vetor anterior e ainda pode ser transcrito.
• Notificação push — mais cômoda, e exposta à aprovação por cansaço: o atacante que já tem a senha dispara tentativas até que alguém aceite para que as notificações parem. A contramedida conhecida é exigir que a pessoa insira no telefone um número que a tela de acesso mostra, o que obriga a olhar de onde veio a tentativa.
• Biometria no dispositivo — o traço é comparado localmente e desbloqueia uma credencial. O que trafega até o servidor não é o rosto.
• Credencial [FIDO2](/glosario/fido2) ou [passkey](/glosario/passkeys) — a credencial está atrelada ao domínio que a registrou, então não pode ser usada em um site de imitação. É a única família da lista que resiste ao phishing por design, e não pela atenção do usuário.

O que o MFA barra e o que continua passando

É a seção que separa um esquema que funciona de um que apenas tranquiliza.

Barra isso. Uma senha vazada deixa de ser suficiente. É por isso que o MFA corta pela raiz um ataque de credential stuffing, em que combinações roubadas de outros serviços são testadas em massa.

Não barra isso. Um phishing com retransmissão em tempo real captura a senha e o código no mesmo momento e os usa antes que expirem. O MFA foi cumprido: a pessoa entregou os dois fatores, ao site errado.

Também não barra isso. O MFA é um controle de porta. Uma sessão já aberta e roubada depois não volta a passar por ele, que é o problema que a autenticação contínua aborda.

E há um limite anterior a todos: o MFA protege uma conta, não diz nada sobre quem a abriu. Um esquema forte sobre uma identidade digital que nunca foi bem verificada protege com rigor o acesso de um impostor.