Protocolos de Autenticação: O Que Protege Seus Logins
Na prática, os dois métodos de autenticação mais amplamente implantados (frequentemente chamados protocolos coloquialmente) são:
1. Autenticação Baseada em Senha (Fator Único)
- Mecanismo: Usuário fornece nome + senha secreta → hash comparado ao hash armazenado.
- Protocolos subjacentes: HTTP Basic/Digest, Form POST, LDAP bind, RADIUS PAP/CHAP, Kerberos (derivado de senha), NTLM.
- Ubiquidade: Todo site, app, login de SO, Wi-Fi (WPA2-Personal).
- Fraquezas: Phishing, credential stuffing, força bruta, reuso, keylogging, engenharia social.
- Mitigações: Hash Argon2/bcrypt/scrypt, rate limiting, verificação senha vazada (HIBP), MFA.
2. Autenticação de Dois Fatores (2FA / MFA)
- Conceito: Algo que sabe (senha) + algo que tem (dispositivo OTP, telefone, chave) ou é (biometria).
- Protocolos Comuns:
- TOTP (RFC 6238): OTP baseado em tempo (Google Authenticator, Authy, Microsoft Authenticator).
- HOTP (RFC 4226): OTP baseado em contador (YubiKey OTP, RSA SecurID).
- FIDO2 / WebAuthn / CTAP: Criptografia de chave pública, chaves hardware (YubiKey, Titan), autenticadores de plataforma (Touch ID, Windows Hello) — resistente a phishing.
- Push / Aprovar: Duo, Microsoft Authenticator, Okta Verify — servidor envia push, usuário aprova.
- SMS / Voz / Email OTP: 2FA mais fraco (SIM swap, SS7, phishing) — depreciado para alto valor.
- Adoção: Obrigatório para admin, finanças, saúde, gov; opcional mas incentivado para consumidores.
Além Destes Dois
- Baseado em certificado (mTLS, Smart Card/PIV).
- Kerberos (concessão de tickets, SSO empresarial).
- SAML / OIDC / OAuth (identidade federada).
- Sem senha (WebAuthn, magic links, passkeys).
Senhas + 2FA = postura de segurança baseline para quase tudo hoje.
