O que é uma aplicação autenticadora

Uma aplicação autenticadora é uma ferramenta de segurança que gera códigos de verificação baseados no tempo utilizando algoritmos criptográficos (como TOTP ou HOTP) para adicionar uma camada extra de proteção às tuas contas.

As falhas de segurança das palavras-passe acontecem frequentemente, e confiar apenas em palavras-passe já não é seguro. É por isso que grandes websites e aplicações agora oferecem Autenticação em Dois Fatores (2FA) ou Autenticação Multi-Fatores (MFA). As aplicações autenticadoras são uma ferramenta 2FA popular que gera códigos de verificação dinâmicos para proteger as tuas contas juntamente com as tuas palavras-passe.

Como funciona uma aplicação autenticadora?#

Uma aplicação autenticadora funciona ao partilhar uma chave secreta única com o servidor onde a tua conta está hospedada. Quando configuras o 2FA pela primeira vez, o serviço gera esta chave secreta e exibe-a como um código QR. Uma vez que escaneias este código com a tua aplicação autenticadora, tanto a tua aplicação quanto o serviço passam a ter a mesma chave secreta - e apenas eles a conhecem.

Usando esta chave secreta compartilhada juntamente com o horário atual, ambos os lados podem gerar independentemente o mesmo código de verificação de 6 dígitos através de algoritmos padronizados (tipicamente TOTP - Senha Única Baseada no Tempo). Quando tentas entrar, o serviço compara o código inserido a partir da tua aplicação autenticadora com o código que gerou - se coincidirem, tens acesso concedido.

O processo de configuração é simples:

1. O serviço gera uma chave secreta única
2. Escaneias o código QR contendo este segredo com a tua aplicação autenticadora
3. A aplicação armazena o segredo com segurança no teu dispositivo
4. A partir daí, ambos os lados podem gerar códigos de verificação que coincidem quando necessário

Por que são as aplicações autenticadoras seguras?#

As aplicações autenticadoras oferecem uma segurança impressionante. De acordo com a pesquisa da Google, bloqueiam 99.9% dos ataques automatizados - isso é 50% mais eficaz do que a verificação por SMS. Vamos explorar por que são tão seguras:

Segurança matemática#

Imagina o desafio de invadir:

• Códigos SMS: Como adivinhar um número de 6 dígitos (1 milhão de possibilidades)
• Chave autenticadora: Como adivinhar um número de 80 bits (mais combinações do que átomos no universo)

Proteção baseada no tempo#

Comparação de validade dos códigos:

• Códigos SMS tipicamente permanecem válidos por 5-10 minutos, criando um risco de segurança significativo
• Códigos de aplicações autenticadoras são atualizados a cada 30 segundos, tornando-os praticamente impossíveis de explorar

Vantagens de geração offline das aplicações autenticadoras#

• Não é necessário transmissão de rede
• Sem risco de interceção de SMS
• Imune a ataques de clonagem de cartões SIM

Por que os hackers não conseguem invadir aplicações autenticadoras?#

Pensa nisso como um cofre com uma combinação em constante mudança:

• Muda a cada 30 segundos
• Requer tanto "chave secreta" quanto "hora exata"
• Mesmo que um código seja roubado, o próximo permanece seguro

O que sabes (password) + O que tens (aplicação autenticadora) + Matemática baseada no tempo = Proteção quase inquebrável

Como usar uma aplicação autenticadora: Um guia passo a passo#

Vamos aprender a usar uma aplicação autenticadora através de um exemplo prático.

Vamos demonstrar o processo usando o serviço de autenticação Logto.

Passo 1: Descarregar e configurar a tua aplicação autenticadora de fontes confiáveis#

1. Descarrega uma aplicação autenticadora confiável:
   • Google Authenticator
   • Microsoft Authenticator
2. Instala a aplicação no teu telemóvel
3. Completa a configuração inicial (cria uma conta se necessário) de acordo com as instruções da aplicação.

Passo 2: Ativar o suporte de aplicação autenticadora para a aplicação demo da Logto#

1. Entra ou inscreve-te em Logto Cloud, e cria o teu primeiro inquilino de acordo com o guia de introdução.

2. Vai a Consola > Autenticação Multi-fatores, e ativa os fatores de autenticação OTP da aplicação autenticadora e Código de backup e escolhe "Os utilizadores são sempre obrigados a usar MFA no início de sessão" como a política de verificação em 2 passos, em seguida clica em Guardar alterações.

3. Vai a Consola > Experiência de Início de Sessão > Inscrição e Início de Sessão página, seleciona Nome de Utilizador como o identificador de inscrição, e remove Endereço de Email do identificador de início de sessão, em seguida clica em Guardar alterações,

Passo 3: Escanear o código QR para conectar a aplicação autenticadora à tua conta na aplicação demo#

1. Ainda na página de Experiência de Início de Sessão da Consola Logto, clica no botão "Pré-visualização ao vivo" no canto superior direito da seção Pré-visualização de Início de Sessão. Em seguida, serás redirecionado para a página de início de sessão da aplicação demo.

2. Clica no botão criar uma conta na página de início de sessão, e insere o teu nome de utilizador e palavra-passe para criar uma conta, e depois verás uma tela mostrando um código QR.

3. Abre a tua aplicação autenticadora e escaneia o código QR. Depois verás uma tela mostrando um código de 6 dígitos.

4. Insere o código de 6 dígitos para confirmar a ligação, e em seguida serás redirecionado para uma página de código de backup. Lembra-te de guardar o código de backup num local seguro.

5. Clica no botão Continuar, e estás autenticado com sucesso na aplicação demo.

Passo 4: Tenta iniciar sessão na aplicação demo com a aplicação autenticadora#

1. Quando iniciares sessão com sucesso na aplicação demo, clica no botão Terminar pré-visualização ao vivo para terminar a sessão e voltar para a página de início de sessão da aplicação demo.

2. Tenta iniciar sessão na aplicação demo com o teu nome de utilizador e palavra-passe, e descobrirás que precisas inserir um código de 6 dígitos para iniciar sessão.

3. Abre a tua aplicação autenticadora, insere o código de 6 dígitos exibido relacionado a logto.app, e estás autenticado com sucesso na aplicação demo!

Como usar aplicações autenticadoras com segurança?#

As aplicações autenticadoras são seguras, mas precisas usá-las corretamente para obter a melhor proteção:

Descarregar de fontes confiáveis#

• Obtém a tua aplicação autenticadora apenas de lojas de aplicativos oficiais (Google Play Store, Apple App Store)
• Usa aplicações populares de empresas confiáveis como Google, Microsoft.
• Tem cuidado com aplicações falsas - elas podem roubar as tuas contas

Mantém os teus códigos de backup seguros#

• Guarda os teus códigos de backup num local seguro offline ou em um gestor de palavras-passe
• Não guardes os códigos de backup no mesmo dispositivo que a tua aplicação autenticadora
• É inteligente guardar os códigos de backup em mais de um local seguro
• Verifica ocasionalmente se ainda consegues aceder aos teus códigos de backup

Tem cuidado durante a configuração#

Ao adicionares contas à tua aplicação autenticadora:

• Escaneia códigos QR quando não houver ninguém por perto
• Nunca faças capturas de ecrã de códigos QR ou chaves secretas
• Não partilhes chaves secretas através de mensagens ou email
• Se copiares uma chave secreta, limpa a tua área de transferência depois

Outras dicas de segurança#

• Usa desbloqueio por impressão digital ou reconhecimento facial na tua aplicação autenticadora se puder
• Faz backup regularmente da tua aplicação autenticadora
• Mantém o teu telemóvel e aplicação autenticadora atualizados
• Para contas importantes, podes querer usar uma aplicação autenticadora separada

O que fazer se perderes a tua aplicação autenticadora?#

Não te preocupes se perderes a tua aplicação autenticadora. Ao configurar o 2FA, os serviços fornecem códigos de backup - estes são códigos de emergência de uso único que deves guardar com segurança offline ou em um gestor de palavras-passe.

As aplicações autenticadoras populares oferecem recursos de backup:

• Google Authenticator: Backup para a conta Google na nuvem
• Microsoft Authenticator: Backup e recuperação na nuvem

Se tudo o mais falhar, podes contactar o suporte ao cliente para obter ajuda.