Autenticação de dois fatores: o que é, como funciona e como ativar

Autenticação de dois fatores (2FA) é o login que pede duas provas de tipos diferentes antes de liberar uma conta: em geral, a senha e um código gerado no celular. A ideia é simples. Senhas vazam, são adivinhadas ou entregues a golpistas, e o segundo fator impede que a senha sozinha abra a porta. Ativar 2FA é uma das medidas de maior efeito e menor custo para proteger e-mail, banco, redes sociais e o painel da sua empresa.

O que é autenticação de dois fatores

Autenticar é provar que você é quem diz ser. Durante décadas, essa prova foi só a senha. O problema é que a senha é um segredo que pode ser copiado: basta um vazamento de base de dados, uma página falsa bem feita ou a mesma senha usada em vários sites. Quem tem a senha, tem a conta.

A autenticação de dois fatores acrescenta uma segunda prova, de natureza diferente da primeira. Mesmo com a senha em mãos, o invasor ainda precisa do seu celular, da sua chave física ou da sua digital. Você também vai ver o termo MFA, de autenticação multifator: ele vale para qualquer login com dois ou mais fatores. No uso diário, MFA e 2FA quase sempre significam a mesma coisa.

A 2FA não substitui uma boa senha. Ela é uma camada a mais. Se você ainda repete senhas entre serviços, comece pelo guia de como criar senhas seguras e depois volte aqui.

Os três tipos de fator: saber, ter e ser

Os fatores de autenticação se dividem em três famílias. A regra de ouro é combinar famílias diferentes. Duas senhas, por exemplo, não são 2FA: são dois fatores do mesmo tipo, e quem rouba uma costuma roubar a outra.

• Algo que você sabe: senha, PIN, resposta a uma pergunta. É o fator mais fácil de copiar.
• Algo que você tem: o celular com o app autenticador, uma chave física de segurança, um cartão com chip. O invasor precisa da posse do objeto.
• Algo que você é: digital, rosto, íris. Na maioria dos celulares, a biometria não sai do aparelho: ela só destrava um segredo guardado ali.

Na prática, o login moderno mistura os três. Quando você aprova um acesso com o rosto no celular, está usando algo que você tem (o aparelho) e algo que você é (a biometria) ao mesmo tempo.

SMS ou app autenticador: qual escolher

Quase todo serviço oferece mais de um método de segundo fator. Eles não protegem igual. O ponto central é a resistência a phishing: se um site falso consegue capturar o fator e repassá-lo ao site verdadeiro em tempo real, o fator não é resistente.

As diretrizes de identidade digital do NIST, instituto de padrões dos Estados Unidos, deixam essa hierarquia clara. Na revisão 4 do documento SP 800-63B, o código por SMS ou ligação telefônica é classificado como autenticador "restrito", que exige oferecer ao usuário uma alternativa. O mesmo texto afirma que senhas, códigos de uso único e notificações fora de banda não são resistentes a phishing, e que essa resistência exige autenticação criptográfica, como a das chaves FIDO.

A conclusão prática: SMS é melhor que nada, app autenticador é o mínimo recomendável e, onde houver, passkey ou chave física é o melhor.

Como o app autenticador gera o código de 6 dígitos

Muita gente acha que o app autenticador recebe o código pela internet. Não recebe. O código é calculado no próprio aparelho, pelo algoritmo TOTP (Time-Based One-Time Password, ou senha de uso único baseada em tempo), descrito na RFC 6238, publicada pelo IETF em 2011. O cálculo tem quatro etapas.

1. O segredo compartilhado. Quando você ativa a 2FA, o site mostra um QR code. Dentro dele há uma chave secreta, uma sequência aleatória que fica guardada no app e no servidor do site. A RFC 4226, base do TOTP, exige no mínimo 128 bits para esse segredo e recomenda 160.
2. O relógio vira contador. O app pega a hora atual em segundos desde 1º de janeiro de 1970 e divide por 30, descartando a parte fracionária. O resultado é um número que muda a cada 30 segundos, o passo padrão da norma.
3. A mistura criptográfica. Segredo e contador entram numa função chamada HMAC, que embaralha os dois de forma irreversível. O padrão usa HMAC-SHA-1 e permite variantes com SHA-256 e SHA-512.
4. O corte para 6 dígitos. Do resultado, o app extrai 4 bytes por uma regra chamada truncamento dinâmico e reduz o número a 6 dígitos. A RFC 4226 define 6 dígitos como mínimo.

Do outro lado, o servidor faz exatamente a mesma conta. Se os dois números batem, o login passa. Como o relógio do celular e o do servidor podem ter uma pequena diferença, a RFC recomenda aceitar uma margem pequena, de no máximo um passo de tempo para compensar o atraso da rede. É por isso que um código às vezes ainda funciona poucos segundos depois de sumir da tela, e por isso um celular com a hora errada gera códigos recusados.

Duas consequências importantes. Primeiro, o autenticador funciona em modo avião: ele só precisa do segredo e do relógio. Segundo, o segredo é o tesouro. Quem copiar aquele QR code da ativação consegue gerar os mesmos códigos para sempre. Nunca envie uma captura de tela dele a ninguém. A lógica de guardar segredos e cifrá-los é tema do artigo sobre criptografia de dados.

Chaves físicas e passkeys (FIDO2)

O ponto fraco do código de 6 dígitos é que uma pessoa pode digitá-lo no lugar errado. Um site falso pede sua senha e seu código, repassa os dois ao site verdadeiro em segundos, e o invasor entra. O padrão FIDO2, mantido pela FIDO Alliance e pelo W3C, resolve isso com criptografia de chave pública.

Na ativação, o seu aparelho cria um par de chaves para aquele site. A chave pública vai para o servidor. A chave privada fica no aparelho ou numa chave física de segurança. No login, o servidor manda um desafio, e o aparelho o assina com a chave privada. Como a chave é vinculada ao endereço do site, um domínio falso simplesmente não recebe assinatura válida. Não existe código para o usuário digitar, e portanto não há o que roubar.

A passkey é a versão desse padrão pensada para o dia a dia. Segundo a FIDO Alliance, ela pode ficar presa a um único aparelho ou ser sincronizada entre os seus dispositivos por um gerenciador de credenciais. Você a libera com biometria, PIN ou padrão de desbloqueio, e a biometria continua no aparelho, sem ir para nenhum servidor. Para contas críticas, como o e-mail principal e o painel financeiro da empresa, a chave física com uma reserva guardada em local seguro é a opção mais robusta.

Os riscos: SIM swap, phishing de código e fadiga de push

A 2FA reduz muito o risco, mas os golpistas se adaptaram. Conhecer os ataques ajuda a não cair neles.

• SIM swap: o criminoso convence a operadora, ou alguém dentro dela, a transferir o seu número para um chip que ele controla. A partir daí, ele recebe todos os seus SMS, incluindo os códigos. O sinal típico é o celular ficar sem sinal de repente.
• Phishing de código: a vítima recebe uma ligação ou mensagem de uma falsa central dizendo que vai "enviar um código para confirmar sua identidade" e pede que ela o repita. O código, na verdade, é o do login que o golpista está fazendo naquele momento. Esse e outros roteiros estão no guia de golpes digitais e phishing.
• Fadiga de push: com a senha em mãos, o invasor dispara dezenas de pedidos de aprovação, muitas vezes de madrugada, até a vítima tocar em "aprovar" para fazer o aparelho parar. O NIST descreve esse ataque, recomenda limitar o número de notificações e deixou de aceitar o simples toque em "aprovar": o usuário precisa digitar num aparelho um código exibido no outro.

Como ativar a 2FA e guardar os códigos de recuperação

O caminho varia de serviço para serviço, mas costuma ficar em Configurações, na seção Segurança ou Login. A sequência abaixo vale para a maioria.

1. Comece pelas contas que abrem outras. E-mail principal primeiro, porque é por ele que se recuperam as outras senhas. Depois banco, gerenciador de senhas, redes sociais e as ferramentas da empresa.
2. Escolha o método mais forte disponível. Passkey ou chave física, se houver. Senão, app autenticador. Use SMS só onde não existir alternativa.
3. Leia o QR code com o app e confirme. O site pede um código gerado para provar que a ativação deu certo. A partir daí, o login passa a exigir o segundo fator.
4. Salve os códigos de recuperação. A maioria dos serviços oferece uma lista de códigos de uso único para quando você perder o celular. Guarde fora do aparelho: impressos num local seguro ou num cofre de senhas protegido.
5. Cadastre um segundo método. Uma chave física reserva ou um segundo aparelho evita ficar trancado do lado de fora se o principal quebrar.
6. Em empresa, torne obrigatório. Painéis de pagamento, e-mail corporativo e acesso remoto devem exigir 2FA de todos. Os padrões do setor de cartões já cobram isso, como mostra o artigo sobre PCI DSS e tokenização, e o tema volta no guia de segurança cibernética para empresas.

Como migrar de celular ou de autenticador

O momento mais arriscado da 2FA é a troca de aparelho. Quem formata o celular antigo antes de levar os autenticadores fica sem acesso a todas as contas de uma vez. A ordem certa evita o problema.

1. Não apague o aparelho antigo ainda. Ele é a sua chave até o fim da migração.
2. Use a exportação do próprio app. Os principais autenticadores têm uma função de transferir contas, que gera QR codes no aparelho antigo para serem lidos no novo. Alguns também sincronizam por uma conta na nuvem.
3. Teste cada conta no aparelho novo. Entre em pelo menos um serviço importante com o código novo antes de seguir.
4. Para contas sem exportação, refaça a ativação. Desative a 2FA com o aparelho antigo e ative de novo lendo o QR code com o novo. Aproveite para baixar códigos de recuperação novos.
5. Só então limpe o aparelho antigo. E, se o celular foi perdido ou roubado, use os códigos de recuperação para entrar e remover o aparelho da lista de dispositivos confiáveis.

Se você quer um autenticador que já resolva essa parte, o TKI Pass é o app gratuito da TKI para iPhone, iPad, Mac, Apple Watch e navegador. Ele gera códigos TOTP, lê o QR pela câmera ou por foto, importa contas do Google Authenticator, funciona sem internet e sincroniza cifrado entre iPhone e navegador. Também traz um cofre de senhas com Face ID, no modelo de conhecimento zero: tudo é cifrado com AES-256-GCM no aparelho e o servidor só recebe texto cifrado. Não tem anúncios nem rastreadores.

Perguntas frequentes

O que é autenticação de dois fatores?

É um login que exige duas provas de tipos diferentes para liberar o acesso, em geral a senha e um código gerado no celular. Se alguém descobrir a senha, ainda precisa do segundo fator para entrar.

Qual a diferença entre 2FA e MFA?

2FA usa exatamente dois fatores. MFA, autenticação multifator, é o nome geral para qualquer login com dois ou mais fatores. Na prática, quase todo MFA usado no dia a dia é 2FA.

Autenticação de dois fatores por SMS é segura?

É melhor do que só a senha, mas é a opção mais fraca. O código pode ser desviado por troca fraudulenta do chip (SIM swap) ou entregue a um golpista por engenharia social. Prefira app autenticador, passkey ou chave física.

O código do app autenticador funciona sem internet?

Sim. O código é calculado no próprio aparelho a partir de um segredo guardado na ativação e da hora atual. Só é preciso que o relógio do celular esteja certo.

O que fazer se eu perder o celular com o autenticador?

Entre nas contas com os códigos de recuperação que você guardou na ativação, desative o autenticador antigo e cadastre o novo. Sem esses códigos, o caminho é o processo de recuperação de cada serviço, que costuma ser demorado.

Passkey substitui a autenticação de dois fatores?

Em boa parte dos casos, sim. A passkey já combina algo que você tem (o aparelho) com algo que você é ou sabe (biometria ou PIN) e não pode ser usada em site falso, o que a torna mais resistente a phishing que senha mais código.