A autenticação reforçada consiste na prática de exigir uma prova de identidade mais rigorosa no momento em que o risco aumenta, em vez de aplicar o mesmo nível de rigor a todas as interações. Um utilizador pode iniciar sessão com um método simples para consultar o saldo e, em seguida, ser submetido a uma verificação mais rigorosa antes de adicionar um beneficiário ou aprovar uma transferência de montante elevado.

O raciocínio é que a segurança uniforme é ou demasiado fraca para as ações de maior risco ou demasiado excessiva para as ações de rotina, e, normalmente, ambas as coisas ao mesmo tempo.

A autenticação reforçada difere da autenticação multifator, que exige mais do que um fator num único momento, normalmente no momento do início de sessão. Também difere da reautenticação, que repete a mesma credencial após um período de inatividade; repetir um fator fraco apenas confirma que quem detinha a credencial ainda a possui. A autenticação reforçada também pode aumentar o nível de segurança.

Os fatores desencadeantes mais comuns para a autenticação reforçada incluem o valor ou a sensibilidade da transação — como um novo beneficiário ou uma alteração dos dados registados —, anomalias comportamentais, tais como uma localização desconhecida ou um horário invulgar, um dispositivo não reconhecido, a recuperação de credenciais e a reassociação de dispositivos, bem como sinais de risco externos, como credenciais que apareçam numa violação de segurança.

O método utilizado para o «step-up» determina a sua eficácia

É aqui que as estratégias de reforço de segurança falham com maior frequência. Passar de uma palavra-passe para um código de acesso único pode parecer um aumento da segurança, mas muitas vezes não é. Isto porque a mesma engenharia social que permitiu obter a palavra-passe pode também obter o código, e um código enviado para o dispositivo em utilização não proporciona qualquer separação. O mesmo se aplica às perguntas de segurança: passar para um segredo partilhado significa passar para algo que um atacante já pode possuir.

Um fator de reforço só faz sentido se estabelecer algo que o anterior não estabeleceu e, nos momentos de maior risco, o elemento que falta é o ser humano. Uma palavra-passe confirma que um segredo é conhecido. Uma credencial associada a um dispositivo confirma que o dispositivo está presente. Nenhuma delas confirma quem está ali.

O iProov suporta a autenticação reforçada através de autenticação flexível, aplicando diferentes níveis de garantia a diferentes contextos de risco no âmbito de uma única integração.

Saiba mais sobre a autenticação reforçada

Artigo: Por que escolher a biometria facial para a autenticação reforçada?
Centro de documentação: Autenticação multifatorial reforçada (MFA)
Imprensa: A iProov oferece garantia de identidade de nível governamental aos trabalhadores