Autenticação multifatorial (MFA)-ou o uso de mais de um fator de identificação quando alguém solicita acesso a recursos seguros, é fundamental para impedir ataques relacionados a credenciais, cumprir as normas de segurança cibernética e manter os recursos seguros. Ao exigir um fator (ou fatores) de autenticação adicional além de uma simples combinação de nome de usuário/senha, a MFA cria outro obstáculo para os possíveis invasores que tentam obter acesso. A MFA tem sido extremamente eficaz desde sua ampla adoção nas últimas duas décadas; em um estudo, ela se mostrou bem-sucedida em manter mais de 99,99% das contas seguras.
A eficácia da MFA em impedir ataques inspira constantemente os invasores a desenvolverem táticas cada vez mais complexas e a criarem novos caminhos de ataque que contornem as defesas de uma organização. A boa notícia é que a MFA também está se adaptando constantemente para enfrentar os desafios emergentes. Nesta publicação, analisaremos as tendências da MFA que estamos vendo no horizonte, inclusive os desafios que a MFA terá de enfrentar, os novos métodos de MFA e as considerações que as organizações precisarão fazer ao avaliar as inovações da MFA.
1. Autenticação adaptativa
A autenticação adaptativa evoluiu da MFA tradicional como uma forma de aumentar a segurança sem aumentar a carga sobre os usuários. É uma forma avançada de MFA que responde dinamicamente a alguém que apresenta credenciais para acesso, com base no nível de risco associado à tentativa de acesso. Por exemplo, se você estiver fazendo login no seu dispositivo habitual a partir do seu local habitual, a MFA adaptativa reconhecerá isso e concederá acesso sem exigir um fator de autenticação adicional.
Mas se você estiver fazendo login em um dispositivo não reconhecido, em um local desconhecido ou usando um navegador ou uma rede diferente do habitual, a MFA adaptável poderá solicitar que você forneça um fator de autenticação adicional. Às vezes, esse fator adicional é chamado de "autenticação por etapas", pois os requisitos de autenticação do sistema aumentam em tempo real junto com o risco. Como as ameaças continuam a evoluir, esperamos que mais organizações implementem a autenticação adaptativa para garantir que a segurança esteja acompanhando o ritmo das ameaças.
A MFA adaptável oferece segurança mais forte do que os métodos e políticas de autenticação estática. Ao se adaptar dinamicamente às ameaças em tempo real, a MFA adaptativa pode detectar e bloquear ataques sofisticados, como preenchimento de credenciais e phishing, e pode reduzir o risco de ataques de phishing. Fadiga do MFA que está associado ao fato de os invasores bombardearem os usuários com prompts de autenticação para permitir uma tentativa maliciosa de login. Além de melhorar a segurança, a autenticação adaptável também aprimora a experiência do usuário, reduzindo o número de solicitações de verificação com as quais os usuários precisam lidar na autenticação.
2. Autenticação com reconhecimento de contexto
A autenticação com reconhecimento de contexto é um componente da autenticação adaptativa que também pode se tornar um dos pilares da MFA. Assim como a autenticação adaptativa, a autenticação com reconhecimento de contexto analisa vários pontos de dados para tomar decisões de autenticação, incluindo:
- Tipo de dispositivo: O login está vindo de um dispositivo conhecido?
- Localização: O usuário está fazendo login de um local conhecido?
- Endereço IP: O IP está associado a uma VPN?
- Horário de acesso: O login está ocorrendo em um horário incomum?
- Comportamento: A velocidade de digitação ou o movimento do mouse refletem o comportamento habitual?
Embora tanto a autenticação com reconhecimento de contexto quanto a autenticação adaptativa analisem as informações de login, há uma grande diferença entre as duas: A autenticação com reconhecimento de contexto verifica e relata as condições de login, mas não necessariamente ajusta a segurança de forma dinâmica com base no contexto detectado, deixando para uma resposta humana a ação sobre as informações. A autenticação adaptativa, por outro lado, é um recurso em tempo real, orientado por IA, que pode alterar a autenticação e fazer ajustes de risco no momento, incluindo o bloqueio automático de logins de alto risco.
3. Autenticação sem senha
Difíceis de serem lembradas pelos usuários e fáceis de serem adivinhadas pelos invasores, as senhas se tornaram um elo fraco na autenticação, especialmente com o aumento vertiginoso do número de recursos que exigem acesso seguro. Autenticação sem senha aborda esse dilema verificando identidades sem depender de senhas; os processos de autenticação sem senha usam uma ampla gama de fatores não baseados em senhas, incluindo tokens de hardware testados e comprovados, senhas de uso único (OTPs) geradas e ações baseadas em aplicativos, como push-to-approve. Quanto mais opções sem senha, maior a oportunidade de as empresas adaptarem os ambientes sem senha às suas necessidades específicas ou a grupos de usuários específicos.
A autenticação sem senha está evoluindo em termos de sofisticação e eficácia. Uma tendência que vemos influenciando a evolução da MFA é o fato de mais organizações usarem métodos sem senha para melhorar a experiência do usuário. Por exemplo, observe se as empresas estão migrando cada vez mais para logins sem senha por meio da biometria como forma de proteger melhor os sistemas internos, combater o phishing e amadurecer sua postura Zero Trust.
Chaves de acesso oferecem outro caminho para melhorar a segurança empresarial por meio de métodos de autenticação sem senha. Antes associados principalmente à experiência do consumidor, eles são cada vez mais parte do futuro da MFA, especialmente no uso corporativo. O segredo para que as organizações implantem as chaves de acesso com sucesso é aproveitar as soluções adequadas para uso corporativo e maximizar a segurança.
Para isso, as organizações geralmente devem usar Chaves de acesso vinculadas a dispositivos em vez de chaves de acesso que são sincronizadas livremente em vários dispositivos.
4. Identidade descentralizada (DID)
A combinação de identidade descentralizada (DID) e tecnologia de blockchain está pronto para influenciar a evolução da MFA. Em um ambiente DID, os próprios usuários possuem e controlam sua identidade em vez de depender de uma autoridade centralizada, como um banco de dados ou uma grande plataforma tecnológica. Por exemplo, em vez de fazer login em um recurso usando uma conta organizacional, um usuário pode adicionar credenciais verificadas a uma carteira descentralizada, usando o blockchain como um livro-razão à prova de adulteração para registros de autenticação.
Uma abordagem DID + blockchain tem o potencial de aprimorar a MFA de várias maneiras. Ao eliminar a presença de uma autoridade central que controla os dados de autenticação, ela reduz o risco de violações de dados. Ela também oferece suporte à autenticação sem senha, verificando a identidade por meio de chaves criptográficas armazenadas em blockchain. E como usa chaves privadas armazenadas com segurança para autenticação, pode tornar inúteis os ataques de phishing.
5. Tecnologias emergentes em MFA
Várias tecnologias emergentes têm um enorme potencial para impactar a MFA, tanto para melhor quanto para pior. Do lado positivo, IA está ajudando a permitir a detecção proativa, adaptativa e automatizada de ameaças; à medida que as ameaças cibernéticas evoluem, os sistemas orientados por IA serão a chave para a defesa contra ameaças em tempo real. No entanto, há um outro lado da moeda: os atacantes cibernéticos também podem usar a IA para criar mecanismos de ameaças novos e mais poderosos. No entanto, é notável que a grande maioria dos profissionais de segurança cibernética em uma recente pesquisa Pesquisa da RSA (80%) relataram que esperam que a IA faça mais para fortalecer a segurança cibernética do que para ajudar os criminosos cibernéticos nos próximos anos.
O uso da IoT e de dispositivos conectados como fatores de MFA também apresenta benefícios e ameaças potenciais à autenticação. Os dispositivos de IoT têm um papel fundamental a desempenhar na habilitação da autenticação baseada em proximidade (pense em smartwatches desbloqueando laptops); acesso com reconhecimento de contexto (em que os sensores de IoT verificam os usuários com base na localização e em outros fatores); e autenticação sem toque, em que os dispositivos reconhecem automaticamente os usuários autorizados. Ao mesmo tempo, porém, em virtude de sua interconexão com vários dispositivos e recursos, a IoT também pode abrir mais caminhos para a introdução de riscos de autenticação.
Uma área de tecnologias emergentes que é inequivocamente um problema em potencial para a MFA é a computação quântica, que representa uma séria ameaça às técnicas de criptografia que protegem os sistemas de MFA. Felizmente, porém, não houve usos verificáveis da computação quântica para quebrar a criptografia ou a MFA. E, considerando que computação quântica requer mais recursos do que os disponíveis atualmente, a tecnologia ainda está em sua infância e quaisquer riscos que ela represente para a MFA ou a criptografia ainda são puramente teóricos. O NIST afirmou que as chaves de 2048 bits devem continuar a oferecer proteção suficiente até pelo menos 2030, e a maioria dos navegadores modernos da Web pode suportar chaves de 4096 bits, caso seja necessário.
Além disso, o trabalho está bem encaminhado para tornar a MFA resistente ao quantum, incluindo as medidas que o NIST está tomando para padronizar algoritmos de criptografia resistentes ao quantum que criam protocolos MFA seguros para o quantum. A agência lançou novos padrões de criptografia FIPS pós-quânticos (FIPS 203, FIPS 204, e FIPS 205). As organizações devem analisar essa orientação e começar a implementá-la hoje mesmo.
Como você se certificará de que seus recursos de autenticação estão à altura dos desafios que a MFA enfrenta atualmente e dos novos riscos que estão evoluindo para contorná-la?
Sua defesa começa com o simples fato de estar ciente e ficar por dentro dessas tendências - e continua com a adoção das medidas certas para ficar à frente delas. Isso significa adotar os avanços da MFA, como a autenticação adaptativa, mudar para a autenticação sem senha e explorar as tecnologias emergentes relacionadas à MFA para entender os benefícios que elas podem trazer e os riscos que podem representar. Como sempre, a RSA está aqui para ajudar.
