Questão de Segurança da Informação — Autenticação Multifator (MFA) — VUNESP 2025

Autenticação Multifator (MFA)

Gabarito: letra C. O reconhecimento facial é um exemplo clássico de fator de inerência, ou seja, "algo que você é" — uma característica biométrica do usuário. As demais alternativas ou classificam erroneamente os fatores (A), ou restringem indevidamente o conceito de MFA (B, D) ou o confundem com 2FA (E).

A autenticação multifator (MFA) é um mecanismo de segurança que exige a apresentação de dois ou mais fatores de autenticação distintos para validar a identidade de um usuário. Esses fatores são categorizados em três tipos principais, conforme a natureza da evidência apresentada:

• Fator de conhecimento (algo que você sabe): senhas, PINs, perguntas de segurança.

• Fator de posse (algo que você tem): tokens físicos, smartcards, aplicativos geradores de código (soft tokens), certificados digitais.

• Fator de inerência (algo que você é): características biométricas, como impressão digital, reconhecimento facial, íris, voz.

A lógica por trás do MFA é simples e poderosa: se um fator for comprometido (por exemplo, uma senha vazada), o atacante ainda precisará superar o segundo fator, que é de natureza diferente e, idealmente, independente. Isso eleva significativamente a barreira para acessos não autorizados, mitigando ataques como força bruta, credential stuffing e phishing.

É importante distinguir o MFA do 2FA (autenticação de dois fatores). O 2FA é um caso específico de MFA que utiliza exatamente dois fatores. O MFA, por sua vez, é um conceito mais amplo, que pode envolver dois, três ou mais fatores. Portanto, afirmar que MFA é sinônimo de 2FA é um erro conceitual.

Outra distinção crucial é que o MFA não se limita a um tipo específico de fator. Ele pode combinar, por exemplo, senha (conhecimento) com um código gerado por aplicativo (posse), ou senha com biometria (inerência). A exigência de múltiplos fatores do mesmo tipo (como senha e PIN) não constitui MFA, pois ambos são fatores de conhecimento.

A banca explora justamente a confusão entre os tipos de fatores e a relação entre MFA e 2FA. Para acertar, é preciso dominar a classificação de cada fator e entender que o MFA é um guarda-chuva que engloba o 2FA.

Alternativa A — ❌ Incorreta

A leitura de impressão digital é um fator de inerência (algo que você é), não de conhecimento. O fator de conhecimento refere-se a informações que o usuário memoriza, como senhas e PINs. A alternativa troca a categoria do fator biométrico.

Alternativa B — ❌ Incorreta

A alternativa descreve um cenário específico de MFA (uso de token físico ou aplicativo gerador de código), mas o apresenta como uma exigência do conceito. O MFA não requer, obrigatoriamente, esse tipo de fator. Ele pode ser implementado com outras combinações, como senha + biometria, ou senha + cartão inteligente. A descrição é uma possibilidade, não uma definição.

Alternativa C — ✅ Correta ⟵ GABARITO

O reconhecimento facial é uma característica biométrica intrínseca ao usuário, classificada como fator de inerência ("algo que você é"). A alternativa está correta ao exemplificar corretamente essa categoria de fator.

Alternativa D — ❌ Incorreta

A alternativa restringe o MFA à exigência de um fator do tipo "algo que você é" em complemento a usuário e senha. O MFA não se limita a essa combinação. Ele pode exigir, por exemplo, dois fatores de posse, ou um fator de conhecimento e um de posse, sem necessariamente envolver biometria. A definição é incompleta e restritiva.

Alternativa E — ❌ Incorreta

MFA e 2FA não são sinônimos. O 2FA é um caso particular de MFA que utiliza exatamente dois fatores. O MFA é o conceito mais amplo, que pode envolver dois ou mais fatores. A alternativa comete um erro de generalização.

Gabarito: letra C