Questão de Segurança da Informação — Autenticação Multifator (MFA) — CESPE / CEBRASPE 2026

Autenticação Multifator (MFA): fatores de conhecimento e posse

✅ CERTO. A exigência de senha e de código gerado por aplicativo autenticador atende aos requisitos de múltiplos fatores de autenticação (MFA), pois combina um fator de conhecimento (algo que o usuário sabe — a senha) com um fator de posse (algo que o usuário possui — o dispositivo que gera o código). Essa é a definição clássica de MFA, que exige dois ou mais fatores de categorias distintas para autenticar o usuário.

A autenticação multifator (MFA) é um mecanismo de segurança que exige que o usuário apresente dois ou mais fatores de autenticação de categorias diferentes para comprovar sua identidade. Os fatores são classificados em três categorias principais: algo que você sabe (conhecimento), algo que você tem (posse) e algo que você é (característica biométrica). A lógica por trás do MFA é que, para comprometer a conta, um atacante precisaria violar múltiplas barreiras independentes — por exemplo, roubar a senha (fator de conhecimento) E também o dispositivo físico (fator de posse). Isso aumenta significativamente a segurança em comparação com a autenticação de fator único, que depende apenas de uma categoria.

Na prática, quando um sistema corporativo exige senha e código gerado por um aplicativo autenticador (como Google Authenticator ou Microsoft Authenticator), o usuário precisa: (1) digitar a senha que ele conhece e (2) informar o código de seis dígitos que é gerado no smartphone que ele possui. O código é dinâmico e muda a cada poucos segundos, o que o torna um fator de posse — o atacante não consegue gerá-lo sem ter acesso físico ao dispositivo. Essa combinação é um exemplo típico de 2FA (autenticação de dois fatores), que é uma forma básica de MFA.

É importante distinguir o MFA da simples exigência de múltiplas credenciais da mesma categoria. Por exemplo, exigir senha e PIN (ambos fatores de conhecimento) não constitui MFA, pois ambos pertencem à mesma categoria e podem ser comprometidos pelo mesmo tipo de ataque (ex.: keylogger). O MFA exige fatores de categorias independentes — como conhecimento + posse, ou conhecimento + biometria — para que a falha de um fator não comprometa o outro. Essa é a pegadinha que a banca explora: o candidato pode achar que qualquer combinação de duas credenciais é MFA, mas a regra exige categorias distintas.

Guarde a fronteira entre as categorias de fatores: conhecimento (senha, PIN), posse (token, smartphone, smart card) e característica (biometria). É exatamente nessa classificação que a assertiva se apoia — senha é conhecimento, código do aplicativo é posse.

Item — ✅ Correto ⟵ GABARITO

A assertiva está correta porque descreve com precisão o conceito de MFA. A senha é o exemplo clássico de fator de conhecimento ("algo que o usuário sabe"), e o código gerado por aplicativo autenticador é um fator de posse ("algo que o usuário possui"), pois depende do dispositivo físico que gera o código. A combinação de um fator de cada categoria atende aos requisitos de múltiplos fatores de autenticação. O NIST SP 800-53 define os fatores como "something you know", "something you have" e "something you are", e o MFA exige o uso de dois ou mais fatores diferentes — exatamente o que a assertiva descreve.

NIST SP 800-53 Rev. 5 (controle IA-2):

"Multi-factor authentication requires the use of two or more different factors to achieve authentication. The authentication factors are defined as follows: something you know (e.g., a personal identification number [PIN]), something you have (e.g., a physical authenticator such as a cryptographic private key), or something you are (e.g., a biometric)."

Aqui, a senha é o "something you know" e o código do aplicativo autenticador é o "something you have" (o dispositivo físico que gera o código). Portanto, a combinação atende à definição de MFA.

Gabarito: C (Certo).