Glossário › Informática

O que é Autenticação de dois fatores (2FA)?

Autenticação de dois fatores (2FA) é o mecanismo de segurança que exige duas provas de identidade de categorias diferentes para liberar um acesso: algo que o usuário sabe (senha), algo que ele possui (celular, token) ou algo que ele é (biometria). Assim, mesmo que a senha vaze, o invasor ainda precisa do segundo fator para entrar na conta.

Os três fatores clássicos de autenticação são: conhecimento (senha, PIN, frase secreta), posse (token físico, cartão, código gerado no celular ou em aplicativo autenticador) e inerência (biometria: digital, rosto, voz). Só existe 2FA quando se combinam fatores de duas categorias diferentes, por exemplo senha + código do aplicativo, ou senha + impressão digital.

É por isso que senha + pergunta de segurança não é 2FA: são duas provas da mesma categoria (conhecimento). Atenção à nomenclatura: a Cartilha de Segurança para Internet do CERT.br, referência frequente em questões de informática, trata verificação em duas etapas como sinônimo de autenticação em dois fatores. Tecnicamente, porém, duas etapas que usam o mesmo fator (duas senhas, por exemplo) não configuram dois fatores. A 2FA, por sua vez, é um caso particular de MFA (autenticação multifator), que admite dois ou mais fatores.

Vale saber também que nem todo segundo fator protege igual: o código por SMS é um dos mais frágeis, porque pode ser interceptado ou desviado em golpes de troca ou clonagem do chip (SIM swap), enquanto aplicativos autenticadores e chaves físicas de segurança são mais robustos. E a 2FA reduz muito o risco, mas não o elimina: em golpes de phishing, o criminoso pede o código à própria vítima em tempo real. A defesa é nunca informar o código em página, ligação ou mensagem suspeita.

Como a banca derruba: Senha + pergunta secreta NÃO é 2FA: são duas provas da MESMA categoria (conhecimento). Só há dois fatores quando as categorias são diferentes: saber, ter e ser.

Termos relacionados

Definição de caráter informativo, para estudo. As regras aplicáveis a cada caso estão na legislação vigente e, em concurso, no edital.