Gestor de passwords e autenticador: por que razão deve usar os dois

A segurança das contas online depende frequentemente da autenticação de dois fatores, mas surge sempre a dúvida sobre onde guardar estes códigos temporários. Descubra qual é a melhor estratégia para proteger a sua identidade digital sem perder a conveniência no dia-a-dia.

O dilema entre a conveniência e o isolamento total

A autenticação de dois fatores (2FA) tornou-se um pilar indispensável para a proteção de acessos na Internet.

O princípio básico da autenticação multifator reside na separação de elementos de segurança. Se um cibercriminoso conseguir obter a sua password, necessitará ainda assim de uma segunda barreira de validação para aceder à conta.

Esta barreira pode surgir sob a forma de SMS, mensagens de correio eletrónico ou códigos gerados por aplicações específicas. Os SMS e o e-mail são vulneráveis a troca de SIM e a phishing, pelo que as aplicações de autenticação são preferíveis, e as chaves físicas (FIDO2) ou passkeys, que resistem a phishing, são a opção mais robusta.

Vantagens e desvantagens de centralizar as passwords

Plataformas populares como o 1Password ou o Bitwarden já integram geradores de códigos temporários (TOTP) diretamente nos seus cofres digitais.

A grande vantagem desta abordagem é a enorme facilidade de utilização, uma vez que o preenchimento automático trata de preencher o utilizador, a password e o código de segurança de uma só vez, o que elimina a necessidade de consultar o telemóvel à pressa para evitar a expiração do código.

Além disso, a sincronização na nuvem assegura que os códigos estão acessíveis em qualquer dispositivo, mitigando o risco de ficar sem acesso caso perca o smartphone.

Contudo, esta centralização viola o princípio da separação de fatores. Se o cofre for comprometido, por exemplo através de malware no computador ou de uma sessão desbloqueada, o atacante terá acesso imediato a todas as credenciais e respetivos segundos fatores, o que representa um ponto único de falha.

O isolamento robusto das aplicações de autenticação dedicadas

Por outro lado, ferramentas dedicadas como o Google Authenticator mantêm os códigos separados das passwords. Ao guardar os secrets de autenticação num dispositivo diferente daquele onde introduz as passwords, cria-se uma barreira física altamente eficaz contra tentativas de intrusão remota. Note-se que, se a app estiver no mesmo telemóvel do gestor, a separação é apenas parcial, e que algumas apps, como o Google Authenticator, permitem sincronizar os códigos com a conta na nuvem, o que traz conveniência mas reduz o isolamento.

Esta segurança acrescida exige, contudo, um esforço manual superior, obrigando o utilizador a transcrever os códigos de seis dígitos e a lidar com a complexidade de recuperar as contas caso o telemóvel se avarie. Por isso, é essencial guardar os códigos de recuperação num local seguro.

Para contornar estes extremos, muitos especialistas recomendam um modelo híbrido: utilizar o gestor de passwords no dia-a-dia e reservar uma aplicação de autenticação independente ou chaves físicas para as contas mais críticas, como o e-mail principal e o próprio gestor de passwords.

Leia também: