autenticação de dois fatores
3 artigos com esta tag
Configurando a autenticação de dois fatores (2FA) no GitHub: app autenticador, passkeys, códigos de recuperação e o que fazer se perder o celular
Um guia para configurar a autenticação de dois fatores (2FA) no GitHub e evitar ficar trancado fora da conta. Desde março de 2023, o GitHub vem exigindo o 2FA, grupo por grupo, de usuários que contribuem com código no GitHub.com; depois de selecionado, você tem um prazo de 45 dias para se inscrever e um período de carência de 7 dias, após o qual não pode usar o GitHub.com até ativar o 2FA. O GitHub Docs recomenda um app autenticador TOTP como método principal, com uma passkey ou chave de segurança como reserva (passkeys, chaves de segurança e o GitHub Mobile só podem ser adicionados depois que o TOTP ou o SMS estiver configurado). A visão deste site: a falha comum de 2FA no GitHub não é a invasão da conta, mas você mesmo ficar trancado fora, e o Suporte do GitHub não consegue restaurar uma conta cujas credenciais de 2FA e métodos de recuperação foram todos perdidos. Guarde os 16 códigos de recuperação num gerenciador de senhas e registre um segundo método no mesmo dia. Aproveite para migrar para tokens fine-grained com validade, limpar apps autorizados e chaves SSH e conferir a proteção de push e os alertas do Dependabot.
O que é uma senha de uso único (OTP)? TOTP vs HOTP vs SMS, e seus limites
Uma senha de uso único (OTP) é um código de curta duração e uso único que se torna inválido depois de usado. Tipos: TOTP de aplicativo autenticador (baseado em tempo), HOTP (baseado em contador) e SMS-OTP. É forte contra senhas vazadas e reutilizadas e costuma ser o fator 'algo que você tem' no 2FA. Mas tem um limite: o phishing de intermediário (AiTM) pode retransmitir uma OTP por um site falso e ainda entrar. Uma resistência forte a phishing vem de uma passkey vinculada ao domínio. A OTP é 'muito melhor que nada, mas não o passo final'.
O que é autenticação de dois fatores (2FA)? vs duas etapas, e a força de cada método
A autenticação de dois fatores (2FA) reforça a verificação de identidade acrescentando uma categoria diferente de prova — 'algo que você tem' ou 'algo que você é' (um código, chave ou biometria) — além de 'algo que você sabe' (sua senha). Ela estritamente não é o mesmo que a verificação em duas etapas (duas verificações, não necessariamente duas categorias). A força depende do método: SMS/e-mail < aplicativo autenticador (TOTP) < passkey/chave de segurança (FIDO2). A posição deste site: primeiro ligue algum 2FA em toda parte, depois migre as contas importantes para métodos que você não consegue entregar a um site de phishing.