Como escolher e configurar a autenticação de dois fatores (2FA) e o que fazer se você perder seu dispositivo

As senhas não são mais suficientes. Preenchimento de credenciais, senhas fracas, a mesma conta e senha sendo usadas para tentar em outro lugar depois que um pequeno site é arrastado para o banco de dados - essas coisas acontecem com tanta frequência que "minha senha é bastante complexa" dificilmente constitui uma linha de defesa. A autenticação de dois fatores (2FA) resolve esse problema: ao adicionar outra verificação além da senha, o invasor não consegue entrar mesmo que consiga apenas a senha.

Referência: Binance Academy (https://academy.binance.com/en/articles/what-is-two-factor-authentication-2fa). A seguir está uma versão reorganizada de acordo com meu entendimento, com foco em como escolher, como configurar e o que fazer se algo der errado.

O que exatamente o 2FA está verificando?

Sua lógica é exigir dois tipos de credenciais de naturezas diferentes, em vez de pedir duas vezes a mesma coisa. As três categorias comuns são: algo que você sabe (senha, PIN), algo que você possui (telefone celular, chave de hardware, dispositivo que pode receber ou gerar código de verificação único) e suas próprias características (impressão digital, rosto).

A maioria das pessoas realmente usa a combinação de “senha + código de verificação único”. É muito mais difícil para um invasor obter sua senha e seu segundo fator do que roubar apenas uma senha.

Há uma distinção facilmente esquecida aqui: a verificação em duas etapas e o verdadeiro 2FA não são exatamente equivalentes. O primeiro pode usar dois fatores do mesmo tipo, como uma senha mais uma pergunta de segurança, ambos caindo na categoria de “algo que você sabe”; os fatores reais de requisitos 2FA vêm de categorias diferentes. É claro que, em produtos reais, os dois termos são frequentemente usados ​​de forma intercambiável. Na maioria dos cenários, a senha é associada a um código de verificação único.

Seis formas comuns, quais são seus respectivos pontos fracos?

**Código de verificação por SMS. ** Melhor compatibilidade, sem necessidade de instalar aplicativo ou comprar hardware. Mas tem medo do sequestro do cartão SIM - o invasor engana a operadora para que transfira seu número para um cartão que ela controla e o código de verificação cai nas mãos de outras pessoas. 2FA é melhor que nada, mas é uma das opções mais fracas.

**Aplicativo autenticador. **Ferramentas como Google Authenticator e Authy geram senhas de uso único baseadas em tempo (TOTP), que são atualizadas a cada 30 segundos. Ele pode ser usado sem estar conectado à Internet e não é afetado pelo sequestro de cartão SIM. O preço é que está vinculado ao dispositivo em que está instalado. Se o telefone for perdido e não houver backup, a conta poderá não estar acessível.

**Token de hardware. ** Chaves físicas como YubiKey funcionam offline, são imunes à maioria dos ataques remotos e são de primeira linha em segurança. A desvantagem é que você tem que gastar dinheiro para comprá-lo e carregá-lo; se ele for perdido ou quebrado, você precisará substituí-lo e terá um método de recuperação de backup.

**Biometria. ** Impressão digital e rosto, rápido, sem necessidade de inserir código. O que realmente importa é como armazenar e proteger os dados biométricos – se sua impressão digital vazar, você não poderá alterá-la como uma senha. A maioria dos telefones celulares agora vem com esse recurso.

**Código de verificação de e-mail. ** Familiar, não é necessário equipamento adicional. O problema é que o e-mail se torna um ponto único de falha: quem acessa seu e-mail pode ignorar seu 2FA. Geralmente usado apenas quando não há opções melhores.

**Chave de acesso e FIDO2. ** Este é um padrão mais recente. Ele não depende de “senha + código de verificação”, mas armazena um par de chaves no dispositivo. Você usa biometria ou PIN para desbloquear o dispositivo e concluir a autenticação, e o servidor não consegue obter sua chave privada. Como não existem senhas ou códigos de verificação para trapacear, ele é naturalmente imune a sites de phishing. Google, Apple, Microsoft e outras plataformas irão apoiá-lo gradualmente a partir de 2023.

A propósito, Passkey está posicionado para substituir o antigo modelo de “senha + código de verificação”, ao invés de ser usado como um segundo fator, portanto não é o mesmo conceito de 2FA.

Processo de configuração e a etapa mais facilmente ignorada

Cada interface é diferente, mas a sequência é basicamente a mesma: primeiro decida qual método usar (para a maioria das pessoas, o App autenticador é uma escolha equilibrada entre segurança e conveniência, e não há necessidade de comprar hardware adicional); em seguida, acesse as configurações de segurança ou de conta da conta, encontre a entrada para verificação dupla/verificação em duas etapas e siga as instruções para abri-la; em seguida, conclua a encadernação. O aplicativo autenticador geralmente verifica o código, o SMS serve para confirmar o número do celular e o token de hardware serve para registrar o dispositivo.

A última etapa é a mais fácil de ignorar: **Salve o código de backup. ** Ao ativar o 2FA, o provedor de serviços geralmente fornecerá um conjunto de códigos de recuperação, que podem ser usados ​​para salvá-lo quando o método de verificação principal falhar. Imprima e guarde em uma gaveta ou coloque em um gerenciador de senhas. Não basta tirar uma captura de tela e mantê-la no mesmo telefone. Sem um código de backup, a recuperação da conta pode demorar muito.

Várias coisas para observar após usá-lo

O código de verificação único não será fornecido a ninguém, mesmo que a outra parte alegue ser o atendimento ao cliente ou a plataforma oficial. A página de phishing irá induzi-lo a inserir o código de verificação em tempo real, portanto, confirme primeiro o nome de domínio quando vir a página de login. Tente não realizar operações de verificação em redes Wi-Fi públicas, pois o tráfego pode ser interceptado. Abra todas as contas que suportam 2FA, não apenas aquelas que você usa todos os dias. Se você trocar de telefone ou perder seu dispositivo, acesse imediatamente todas as contas associadas para atualizar as configurações. Também é um bom hábito verificar quais dispositivos e aplicativos ainda têm permissões de vez em quando.

Conta Exchange: O que mais verificar além de 2FA

Depois que uma conta de criptoativos é roubada, as consequências são muito mais sérias do que uma conta social, então vale a pena pensar um pouco mais aqui. Em termos de segurança, dê prioridade ao uso de aplicativos autenticadores ou tokens de hardware em vez de mensagens de texto; opções como a lista branca de endereços de retirada de moeda e e-mails de confirmação de retirada de moeda também são verificadas.

Quanto aos custos, do ponto de vista do tratamento de taxas e descontos, há alguns pontos que vale a pena verificar em sua conta em vez de ouvir os outros: quais são as taxas do maker e do taker para spot e contrato respectivamente, por qual calibre o nível VIP é dividido (como volume de negociação ou posição), se a dedução do BNB é realmente eficaz no seu nível, quanto é realmente deduzido após a dedução, e se você usar o canal de descontos, em que base e período os descontos são liquidados? Esses números são diferentes para cada empresa, cada categoria e cada atividade, e também serão ajustados. Não vou fornecer valores específicos aqui – é o que você vê na página de tarifas e fatura que conta.

Perguntas frequentes

**O SMS 2FA é suficiente? ** Mais forte do que apenas usar uma senha, mas mais fácil de quebrar de várias maneiras. Para contas com quantias maiores, é mais seguro mudar para um aplicativo validador ou token de hardware.

**O que devo fazer se o dispositivo for perdido? ** Use o código de backup salvo ao abrir ou siga o processo de recuperação de conta do provedor de serviços. É por isso que os códigos de backup devem ser salvos no dia da configuração.

**O 2FA pode garantir a segurança absoluta da conta? ** não pode. Isso apenas aumenta o limite para ataques, e caminhos como phishing, engenharia social e o próprio dispositivo invadido ainda existem.

##Finalmente

2FA é uma medida econômica, mas não é um talismã. O método escolhido depende de seus hábitos de uso e do suporte da plataforma. O ponto chave é não correr nu – especialmente contas relacionadas a dinheiro.

Este artigo é apenas uma compilação de informações gerais e não constitui um conselho de investimento, nem representa a posição oficial de qualquer plataforma.