MFA: fatores (saber, ter, ser) — categorias distintas

A ideia que organiza o assunto

Autenticação é o ato de provar a identidade que se alegou. Só existem três famílias de prova, e a prova forte vem de combinar famílias diferentes, nunca de repetir a mesma:

categoria	o que é	exemplos
saber (conhecimento)	algo que só você sabe	senha, PIN, frase secreta, pergunta de segurança
ter (posse)	algo que só você tem	token físico ou em software, celular registrado, cartão, certificado em dispositivo, código enviado ao canal registrado
ser (inerência)	algo que você é ou faz	digital, face, íris, retina, voz, geometria da mão, dinâmica de digitação

A pergunta que resolve o tópico é sempre a mesma: os dois fatores apresentados caem em categorias distintas? Senha e PIN são a mesma categoria — isso é um fator repetido, não MFA. Senha e token, senha e digital, digital e celular registrado: aí sim são dois fatores, porque um atacante precisaria de dois tipos diferentes de ataque para reunir os dois. É essa independência, e não a quantidade de etapas na tela, que produz a segurança.

Daí saem duas consequências que a prova cobra direto: MFA acrescenta camada sobre camada (cada fator é uma camada; 2FA tem duas, não uma), e MFA é autenticação, não autorização — ela não concede permissão nenhuma, e nenhum modelo de autorização a dispensa.

Quanto isto foi medido, e o que o título promete sem entregar. Doze itens. Nenhum deles é decidido pela exigência de categorias distintas: não há, no corpus, o item clássico que chama “senha + pergunta secreta” de MFA. As três categorias aparecem citadas — conhecimento e posse juntos em 1, inerência em 1, biometria em 3, token em 3, senha em 5 —, mas o que decide os doze é outra coisa: o que cada mecanismo exige e o que ele entrega. Guarde a régua das categorias mesmo assim, porque ela é o núcleo do assunto e o item vai chegar; só não espere que ele já esteja aqui.

Por que se usa (e o que custa)

MFA existe porque a senha é o elo que sempre falha: é reusada entre serviços, vazada em massa, adivinhada, phishada e digitada em página falsa. O ganho é direto e mensurável — mesmo com a senha na mão do atacante, falta a segunda prova, e é por isso que MFA é o controle mais citado contra phishing e contra credential stuffing.

O custo é real e a banca cobra os dois lados. Há atrito: mais uma etapa em cada acesso, mais suporte, mais recuperação de conta — e a recuperação vira o novo ponto fraco, porque um processo de “perdi o celular” mal desenhado desfaz toda a MFA. Há dependência externa: SMS depende da operadora e é vulnerável a SIM swap; código por e-mail depende de uma caixa que pode estar comprometida; autenticador em nuvem depende do provedor; token físico quebra e se perde. Toda dependência acrescenta superfície de ataque, e reconhecer isso não é criticar a MFA — é a resposta certa quando o item diz que soluções com dependências externas podem introduzir vulnerabilidades.

O que não é custo aceitável: a afirmação de que o atrito existe sem ganho de segurança. O atrito é o preço de um ganho que a prova trata como assentado.

Como funciona

2FA × MFA × verificação em duas etapas. 2FA é o caso particular de MFA com exatamente dois fatores; MFA é “dois ou mais”. “Verificação em duas etapas” é termo comercial e pode, na prática, usar duas etapas da mesma categoria — por isso a régua continua sendo a categoria, não a contagem de telas.

Senhas de uso único (OTP). O código vale uma vez e dentro de uma janela de tempo, e é gerado por um segredo compartilhado entre o token e o autenticador. Há duas arquiteturas, e a diferença entre elas decide item:

• Síncrono — token e servidor calculam o mesmo valor em paralelo. Por tempo (TOTP, o autenticador do celular, com passo típico de 30 segundos) ou por contador de eventos (HOTP, que avança a cada geração). Exige manter o sincronismo: relógio ou contador fora de fase derruba a autenticação, e o servidor compensa com uma janela de tolerância.
• Assíncrono (desafio–resposta) — o servidor envia um desafio, o token o cifra ou o transforma com a chave e devolve a resposta. Não exige sincronização: não há relógio comum nem contador a manter. É exatamente por existir essa segunda arquitetura que “todo token OTP exige sincronização” é falso.

O token pode ser físico (chaveiro, cartão, chave FIDO) ou em software (aplicativo autenticador), e em ambos o código fica vinculado a um dispositivo, usuário ou conta determinada.

Notificação por push. O servidor manda um aviso ao aplicativo instalado no dispositivo previamente registrado, e o usuário aprova ou nega com um toque. A prova é a posse do dispositivo registrado; não se digita senha para aprovar. A comodidade tem preço: a MFA fatigue — o atacante que já tem a senha dispara pushes até a vítima aprovar por cansaço —, e a defesa é a correspondência de número na tela e o limite de tentativas.

Código por SMS ou por e-mail. É MFA legítima e cobrada como tal: o envio de um código único de verificação ao endereço de e-mail ou ao número registrados é técnica válida de verificação. É também a mais fraca da família, porque o canal pode ser desviado (SIM swap, caixa comprometida) — mais fraca não quer dizer inválida, e a prova pune quem confunde as duas coisas.

Biometria. É o fator de inerência, e sua força está na dificuldade de ser contornada: não se empresta, não se esquece e não se digita numa página falsa. A facial analisa pontos e distâncias do rosto — distância entre os olhos, formato do nariz, tamanho da boca; a datiloscópica analisa minúcias da digital; íris e retina são as de menor taxa de erro e maior custo; voz e dinâmica de digitação são biometrias comportamentais, as demais são fisiológicas. Todo sistema biométrico se mede por dois erros que se movem em sentidos opostos: FAR, a falsa aceitação (aceitar um impostor — o erro grave para a segurança) e FRR, a falsa rejeição (barrar o legítimo — o erro grave para a usabilidade). Apertar o limiar reduz um e aumenta o outro; o CER/EER é o ponto em que se igualam, e quanto menor, melhor o sistema. O limite próprio da biometria: ela não se revoga — senha vazada se troca, digital vazada não.

MFA adaptativa (baseada em risco). Em vez de exigir sempre os mesmos fatores, a decisão pondera o contexto de cada tentativa: localização geográfica, endereço e reputação da rede, dispositivo conhecido ou novo, horário atípico, número de tentativas de login falhas, viagem impossível. Risco baixo, passa com um fator; risco alto, pede o segundo ou nega. É o ponto onde a autenticação encosta no ABAC — a mesma ideia de atributos de ambiente decidindo em tempo real.

O que decide os itens

Categoria, não quantidade — dois fatores da mesma categoria continuam sendo um fator. Senha + PIN + pergunta secreta é conhecimento três vezes.

combinação	é MFA?	por quê
senha + token físico	sim	saber + ter
senha + digital	sim	saber + ser
digital + celular registrado	sim	ser + ter
senha + PIN	não	saber + saber
senha + pergunta secreta	não	saber + saber
digital + reconhecimento facial	não	ser + ser

Camadas — cada fator é uma camada. 2FA tem duas; dizer que a combinação de conhecimento e posse resulta em uma camada é o erro, ainda que o resto da frase esteja certo.

Token síncrono × assíncrono — sincronismo de relógio (TOTP) ou de contador (HOTP) × desafio–resposta, que dispensa sincronização. Item que diz “exige sincronização” sem ressalva ignora metade da família.

Push × OTP × senha — aprovar um aviso no dispositivo registrado × digitar um código gerado ou recebido × digitar o segredo memorizado. No push não se digita senha para aprovar; a posse do dispositivo é a prova.

Fisiológica × comportamental — digital, face, íris, retina e geometria da mão × voz, assinatura dinâmica e ritmo de digitação.

FAR × FRR × CER — aceitar impostor × barrar legítimo × ponto de igualdade entre os dois. Segurança piora com FAR alto; usabilidade piora com FRR alto.

Autenticação × autorização — MFA prova quem é; RBAC, ABAC e ACL decidem o que pode. Nenhuma substitui a outra, em nenhuma direção.

MFA adaptativa × MFA comum — exigência que varia conforme o risco medido no contexto × exigência fixa. Localização, dispositivo, horário e tentativas de login falhas são entradas legítimas da adaptativa.

Custo admitido × benefício negado — reconhecer que MFA acrescenta atrito, custo e dependência externa é certo; concluir daí que ela não traz ganho de segurança é errado. A concessão é verdadeira; a conclusão é que foi virada.

Números que caem

fatores mínimos para haver MFA	2, de categorias distintas
categorias de fatores	3: saber, ter, ser
2FA	exatamente 2 fatores — e 2 camadas, não uma
passo típico do TOTP (RFC 6238)	30 segundos
HOTP (RFC 4226)	baseado em contador de eventos, sem relógio
tamanho usual do código OTP	6 a 8 dígitos, de uso único
CER/EER	ponto em que FAR = FRR; quanto menor, melhor

Aviso de honestidade: nos 12 itens medidos, o único número cobrado foi a contagem de camadas/fatores. Os demais estão aqui porque são baratos de guardar e porque numero_errado é distorção frequente em outros tópicos de segurança — não porque já tenham caído neste.

Como a CEBRASPE derruba você aqui

Medido sobre os 12 itens do tópico: 7 certos e 5 errados. E há aqui uma regularidade que vale mais do que qualquer contagem de tipo de distorção, porque ela separa os doze itens sem erro:

O verbo do predicado decide o item. Os 7 certos afirmam uma possibilidade ou descrevem sem restringir: “pode considerar o número de tentativas de login ou até a localização geográfica”, “podem ser dispositivos físicos ou podem existir em software”, “o MFA pode utilizar o fator de inerência”, “pode ser implementada por meio do envio de um código único”, “a biometria pode ser usada em conjunto com outros métodos”, “é capaz de analisar diversos pontos do rosto”, “incluem o risco de introduzir vulnerabilidades”. Os 5 errados exigem, restringem ou negam: “utiliza apenas uma camada”, “requer uma etapa de variação criptográfica”, “exige sincronização”, “não oferece ganhos em relação à segurança”, “exigem uma senha para aprovar”. Sete de sete e cinco de cinco. É amostra pequena e não é uma lei — mas é a primeira coisa a olhar: item de MFA que diz “pode” costuma estar descrevendo uma variante real do mecanismo; item que diz “exige”, “apenas” ou “não” costuma estar fechando uma porta que existe.

A porta fechada: uma alternativa real apresentada como impossível ou obrigatória. “Um token utilizado para gerar senhas… exige sincronização com o sistema autenticador” — existe o token assíncrono de desafio–resposta. “Na notificação por push, os métodos de 2FA exigem uma senha para aprovar o acesso” — no push se aprova com um toque no dispositivo registrado. Defesa: para cada exigência afirmada, procure de propósito a variante do mecanismo que funciona sem ela. Quase sempre existe, e é ela o gabarito.

A contagem rebaixada. “A autenticação de dois fatores (MFA) utiliza apenas uma camada de segurança, que resulta da combinação de um fator de conhecimento com um fator de posse, como uma senha e um token físico.” A segunda metade está impecável — e é ela que faz o candidato marcar certo. Defesa: quando a frase acerta a composição, volte e confira o número: dois fatores são duas camadas, sempre.

A definição sequestrada. “MFA é um processo que requer uma etapa de variação criptográfica da senha do usuário por diferenciação de chave pública” — o vocabulário é criptográfico, soa técnico e não descreve MFA coisa nenhuma. Defesa: MFA se define por categorias de prova, não por operação matemática. Se a definição oferecida não menciona fatores de natureza distinta, ela é de outro assunto.

O benefício negado depois da concessão verdadeira. “A implantação de 2FA aumenta a complexidade para acesso ao sistema, mas não oferece ganhos em relação à segurança.” A primeira metade é verdadeira e serve para comprar sua confiança. Defesa: custo e benefício de MFA são independentes — admitir o atrito nunca autoriza negar o ganho. Repare no contraste com o item certo do mesmo corpus, que admite risco de dependência externa sem negar o benefício: é essa diferença que separa os dois.

Erros clássicos

Chamar de MFA duas provas da mesma categoria. Senha e pergunta secreta são duas coisas que você sabe; quem descobre uma tende a descobrir a outra, pelo mesmo ataque. Dois fatores exigem dois tipos de ataque diferentes.

Achar que MFA autoriza alguma coisa. Ela prova a identidade. Quem decide o que a identidade acessa é a política de autorização — e nenhuma das duas dispensa a outra.

Recusar o código por e-mail ou SMS como MFA. É a variante mais fraca, não uma não-variante. A prova cobra a distinção entre “menos seguro” e “inválido”.

Achar que biometria é infalível ou que dispensa os demais fatores. Ela tem FAR e FRR, sofre com sensor sujo, lesão e iluminação, e não é revogável. Por isso a recomendação é combiná-la — biometria com senha ou PIN é configuração 2FA legítima.

Tratar o token em software como inferior por não ser físico. O corpus trata os dois como token de autenticação: o que importa é o código vinculado a dispositivo, usuário ou conta e válido uma única vez, dentro de um intervalo.

Confundir sincronismo com segurança. Token assíncrono não é token inseguro: é outra arquitetura, baseada em desafio e resposta.

Supor que MFA derrota qualquer phishing. Ela derrota o reuso de senha e a maior parte das campanhas em massa; não derrota sozinha o proxy reverso que retransmite o código em tempo real nem o cansaço de push. Contra esses, valem a correspondência de número, o limite de tentativas e os autenticadores ligados à origem do sítio.