Questão de Segurança da Informação — Autenticação Multifator (MFA) — INSTITUTO AOCP 2023

Autenticação Multifator (MFA): os três fatores

Gabarito: letra E. A alternativa correta combina os três tipos de fatores de autenticação: senha (algo que você sabe), cartão de proximidade RFID (algo que você tem) e identificação por voz (algo que você é). As demais alternativas ou repetem o mesmo tipo de fator ou não contemplam as três categorias distintas exigidas pelo enunciado.

A autenticação multifator (MFA) é um mecanismo de segurança que exige a apresentação de dois ou mais fatores de autenticação para validar a identidade de um usuário. Esses fatores são classificados em três categorias fundamentais, conforme o padrão da indústria e as boas práticas de segurança da informação:

• Algo que você sabe (knowledge factor): informações que o usuário memoriza, como senha, PIN, pergunta secreta ou frase de segurança.

• Algo que você tem (possession factor): objetos físicos ou dispositivos que o usuário possui, como cartão de proximidade (RFID), token USB, smartcard, smartphone ou certificado digital.

• Algo que você é (inherence factor): características biométricas do usuário, como impressão digital, reconhecimento facial, íris ou padrão de voz.

O princípio central do MFA é que a combinação de fatores de categorias diferentes aumenta significativamente a segurança, pois um atacante precisaria comprometer múltiplas barreiras independentes. Por exemplo, mesmo que uma senha seja roubada, o atacante ainda precisaria do dispositivo físico e da biometria do usuário para obter acesso.

Na prática, um sistema MFA robusto exige que cada fator pertença a uma categoria distinta. Se dois fatores forem da mesma categoria (por exemplo, senha e PIN, ambos "algo que você sabe"), a autenticação não é considerada verdadeiramente multifator, pois a quebra de um tipo de fator comprometeria ambos. É exatamente essa distinção que a questão explora: o enunciado pede "três fatores, utilizando os três tipos de informações adicionais", ou seja, um fator de cada categoria.

A pegadinha da banca está em alternativas que parecem ter três fatores, mas na verdade repetem a mesma categoria. Por exemplo, "Senha, PIN e Impressão digital" tem dois fatores do tipo "saber" (senha e PIN) e apenas um do tipo "ser" (biometria). A alternativa correta é a única que apresenta um fator de cada categoria: senha (saber), cartão RFID (ter) e voz (ser).

Guarde essa regra de ouro: para ser MFA de verdade, os fatores precisam ser de categorias diferentes. É esse critério que separa a alternativa correta das demais.

Alternativa A — ❌ Incorreta

Senha e PIN são ambos fatores do tipo "algo que você sabe". A impressão digital é do tipo "algo que você é". Portanto, há apenas duas categorias representadas, não três. A repetição da categoria "saber" enfraquece a autenticação, pois se um fator for comprometido, o outro também pode ser.

Alternativa B — ❌ Incorreta

Matrícula é um identificador, não um fator de autenticação — ela apenas diz quem o usuário é, sem provar nada. Reconhecimento por voz e impressão digital são ambos do tipo "algo que você é" (biometria). Assim, a alternativa falha duplamente: não apresenta um fator do tipo "saber" nem do tipo "ter", e repete a categoria biométrica.

Alternativa C — ❌ Incorreta

Pergunta secreta e PIN são ambos do tipo "algo que você sabe". O reconhecimento facial é do tipo "algo que você é". Novamente, apenas duas categorias estão presentes, com a categoria "saber" duplicada.

Alternativa D — ❌ Incorreta

Cartão de proximidade (RFID) e Token USB são ambos do tipo "algo que você tem". A senha é do tipo "algo que você sabe". A categoria "algo que você é" (biometria) está ausente. Portanto, apenas duas categorias são representadas.

Alternativa E — ✅ Correta ⟵ GABARITO

Esta alternativa apresenta exatamente um fator de cada categoria:

A combinação atende perfeitamente à exigência do enunciado: três fatores, cada um de um tipo diferente.

Gabarito: letra E