MFA - Múltiplo Fator de Segurança

• 1 - O que é o Múltiplo Fator de Autenticação (MFA)?
• 2 - Por que o MFA é importante?
• 3 - Cronograma de Implantação do MFA - Google Workspace:
• 4 - Tipos de MFA no Google e como eles funcionam?
• 5) Perguntas Frequentes (FAQ) - MFA com segurança

1 - O que é o Múltiplo Fator de Autenticação (MFA)?

• A autenticação multifator (MFA) é o processo de login na conta com etapas adicionais, e que obriga o usuário a inserir informações que vão além de uma simples senha.

Por exemplo: Juntamente com a senha, os usuários podem ser solicitados a inserir um código gerado por um aplicativo autenticador, uma chave física, verificar uma impressão digital ou autorizar a partir de um dispositivo definido como confiável.

• Após a habilitação do MFA em sua conta, em dispositivos definidos como confiáveis, ele será exigido quando for realizado um acesso pela primeira naquele dispositivo ou quando os algoritmos de segurança detectarem um comportamento suspeito da conta.

2 - Por que o MFA é importante?

As pessoas, empresas e instituições usam o multifator para validar suas identidades digitais e de seus usuários, fornecendo acesso seguro e somente aos usuários autorizados.

2.1 - Camada Adicional de Segurança

• O MFA é a camada adicional de segurança, que previne acessos não autorizados às contas ainda que a senha seja roubada, exposta ou vazada.

2.2 - Senhas são insuficientes

• Embora nos protejam, as senhas não são o suficiente. Cibercriminosos tentam obtê-las por diversas técnicas, e caso tenham sucesso, existe o risco de um acesso não autorizado às várias contas nas quais você possa ter utilizado a mesma senha.

2.3 - Previna acessos não-autorizados

A segurança digital é essencial no mundo em que vivemos. Interagimos com aplicativos, serviços e dados que são armazenados e acessíveis através de contas online. Uma violação ou uso inadequado dessas informações pode resultar em consequências graves, como  prejuízos profissionais e financeiros, interrupção dos negócios e serviços e danos à privacidade, seja do próprio titular ou de terceiros.

 

3 - Cronograma de Implantação do MFA - Google Workspace:

•  A partir do dia 10/06/2024 será habilitado o aviso na página de login dos serviços do Google Workspace para usuários SERVIDORES do IFSP que ainda não ativaram seu MFA, informando sobre o prazo LIMITE para habilitá-lo. Inscreva-se!

  • 5.2.2 - Os usuários que não realizarem a ativação do MFA após o PRAZO LIMITE (10/07/2024), podem ter o acesso à sua conta suspenso de forma automática e TEMPORÁRIA, e deverão fazer a solicitação de liberação às Coordenadorias de T.I. (CTIs) locais.

  • Se você, servidor, já possui MFA ativo, não se preocupe! Nada mudará.

    

    

• 5.2.2 - Os usuários que não realizarem a ativação do MFA após o PRAZO LIMITE (10/07/2024), podem ter o acesso à sua conta suspenso de forma automática e TEMPORÁRIA, e deverão fazer a solicitação de liberação às Coordenadorias de T.I. (CTIs) locais.

4 - Tipos de MFA no Google e como eles funcionam?

Abaixo o detalhamento de cada um dos MFAs que você poderá escolher conforme a sua rotina:

Para que você não enfrente dificuldades de acesso, como indisponibilidade de sinal de telefonia móvel, internet, perda/troca de número telefônico ou roubo/furto/dano de um dispositivo, recomendamos que habilite mais de um mecanismo de MFA e também o e-mail de recuperação de conta para receber alertas de segurança.

*** Importante *** Usuários SERVIDORES, NÃO devem realizar alteração de senha diretamente no Google, devem continuar a seguir os procecimentos atualmente realizados e descritos em https://manuais.ifsp.edu.br/books/e-mail/page/alteracao-de-senha-e-mail-institucional-at-ifspedubr ****

Aplicativos Autenticadores (Baixe seus aplicativos somente nas lojas oficiais)	Em vez de esperar mensagens de texto, receba códigos de verificação de um app autenticador. Essa opção funciona mesmo quando o smartphone está desconectado de uma rede de dados ou de telefonia móvel. Tutorial oficial Google Authenticator Tutorial oficial Microsoft Authenticator * NÃO precisará de conexão com a internet/redes móveis para fornecer acesso. * Precisará que você esteja/tenha acesso ao seu smartphone para fornecer acesso.	Jamais compartilhe seus códigos de autenticação.
Solicitações do Google (Autorização por toque)	Ao fazer login na sua Conta do Google, você pode tocar em uma notificação no smartphone para confirmar sua identidade. Adicione a sua conta funcional ao seu smartphone e já estará habilitado. Android - IPhone/IPad (pode ser necessário reiniciar o dispositivo). * Antes de habilitar este tipo de MFA, solicitamos que habilite ao menos um outro tipo. * Precisará de conexão com a internet/redes móveis para fornecer acesso. * Precisará que você esteja/tenha acesso ao seu smartphone para fornecer acesso. https://support.google.com/accounts/answer/7026266?sjid=14504891936156707627-SA
Mensagens de texto (SMS) ou de voz.	Você pode receber códigos de seis dígitos de login que podem ser enviados por mensagem de texto (SMS) ou ligação, dependendo da configuração escolhida, aos números que você cadastrar como MFA. Dica: toda forma de verificação em duas etapas aumenta a segurança da conta, mas os códigos de verificação enviados por mensagem de texto ou chamada podem estar vulneráveis a invasões baseadas no número de telefone. * Precisará de conexão com redes de telefonia móvel para fornecer acesso. * Precisará que você esteja/tenha acesso ao seu smartphone para fornecer acesso.
Chaves de acesso e de segurança	Com as chaves de acesso, é possível fazer login de forma segura na sua Conta do Google e dependendo do tipo de dispositivo onde a chave será criada, poderá usar seu rosto, impressão digital, bloqueio de tela, PIN ou chave de segurança (As chaves de segurança podem ser físicas ex: FIDO2, ou lógicas ex: apps de cofre de senhas). Caso já tenha adicionado sua conta a um smartphone, o aparelho será reconhecido como uma chave e você poderá inclusive habilitar a PASSKEY através dele, caso ele seja compatível. Ao tentar adicionar o login por chaves nos diversos dispositivos compatíveis, confira se o dispositivo tem suporte a este tipo de autenticação, se o sistema operacional do dispositivo está atualizado, se o bloqueio de tela está ativo e se você está usando um navegador atualizado e com suporte. * Precisará de conexão com a internet/redes móveis para fornecer acesso. * Precisará de acesso ao dispositivo (chave física) ou ao app (chave lógica) para fornecer acesso. https://support.google.com/accounts/answer/13548313?hl=pt-BR
Codigos Alternativos (Códigos de backup)	Imprima uma lista de códigos ou os armazene em um cofre de senhas para usar no login caso não consiga acesso através das outras opções. Mantenha esses códigos alternativos em um lugar seguro, mas acessível. * Precisará de acesso aos códigos gerados e armazenados por você para fornecer acesso. https://support.google.com/accounts/answer/1187538?hl=pt-BR

 4.1 - Siga os passos na documentação oficial Google:

• https://safety.google/security/security-tips/

• https://support.google.com/accounts/answer/185839

4.2 - Você também pode seguir o seguinte caminho:

1. Faça login na sua conta;

2. Acesse https://myaccount.google.com/security-checkup

3. Clique sobre a opção "Login e Recuperação" > "configurações da verificação em duas etapas" > "Ativar a verificação em duas etapas"

Opção 1) Número de Telefone

Opção 2) Chave de Acesso de Segurança

Opção 3) Criar uma chave de acesso

Opção 4) Utilizar um app de autenticação em seu celular

Opção 5) Códigos alternativos

Recomendamos que você também habilite um e-mail ou número secundário para receber alertas de segurança da sua conta.

•  Para garantir que você seja alertado de alterações ou ações suspeitas em sua conta do Google, adicione informações de recuperação.

• Um endereço de e-mail e um número de telefone de recuperação ajudam você a:

  • Receber alertas de segurança de ações ou alterações em sua conta;

• Recomendamos que este e-mail de recuperação também tenha MFA ativo.

• https://support.google.com/accounts/answer/183723?hl=pt-BR

5) Perguntas Frequentes (FAQ) - MFA com segurança

5.1 - Como me conectar a aplicativos de terceiros através da minha conta funcional ou conta sistêmica com MFA ativado (senha de app)?

• Para que você utilize alguns aplicativos de terceiros que não tenham autenticação Google nativa, após ativar seu MFA na conta, você deverá utilizar a opção "senha de app";

• Normalmente apenas aplicativos legados fazem uso desse tipo de autenticação. Por isso a funcionalidade existe, mas não é recomendada.

  • Siga o tutorial do Google: https://support.google.com/accounts/answer/185833?hl=pt-BR

5.2 - O que devo fazer para proteger minhas contas institucionais se meu dispositivo (seja ele móvel ou não) for perdido/furtado/roubado?

• https://support.google.com/accounts/answer/185834?hl=pt-BR&ref_topic=2954345

• Altere suas senhas imediatamente. Veja os passos abaixo de acordo com o seu perfil:

  • Servidor:

    • Google Workspace: https://manuais.ifsp.edu.br/books/e-mail/page/alteracao-de-senha-e-mail-institucional-at-ifspedubr

• Use os MFAs definidos para a sua conta, realize o acesso e as alterações de informações necessárias;

  • A proteção de acesso durante situações emergenciais é uma das funções do MFA, porém, podem existir aplicativos que você tenha autorizado acesso e estejam logados no dispositivo afetado, por isso a importância de todas as ações preventivas.

  • Para que você realize as ações preventivas é muito importante que você defina múltiplos MFAs;

  • Caso seu dispositivo perdido/furtado/roubado possa fornecer seus MFAs a terceiros, os criminosos poderão acessar suas contas, por isso é importante alterá-los.

• Desconecte sua conta do dispositivo afetado: https://support.google.com/accounts/answer/3067630?sjid=4259497650820501059-NA#remove

• Altere os MFAs que você não tem mais acesso, incluindo códigos de backups e quais outros ligados ao dispositivo afetado (faça isso nos mesmos locais onde você os ativa, como explicado nesta página e no link acima).

• Defina novos MFAs seguros, que só você tem posse.

• Não consegue acesso à conta em hipótese alguma? Procure pela Coordenação de T.I. (CTI) local para suporte.

5.3 - O que devo fazer para acessar minha conta ao trocar ou perder acesso ao meu número de telefone de MFA?

• https://support.google.com/accounts/answer/185834?hl=pt-BR&ref_topic=2954345

• Troque imediantamente esta informação no seu MFA;

• Acesse a tela de login, informe a sua senha e use os OUTROS MFAs que você definiu para a sua conta e realize o acesso;

  • Para que você realize acessos em situações como essa, é muito importante que você defina múltiplos MFAs;

• Altere o MFA que você não tem mais acesso (seu numero de telefone ou outros). Isso pode ser feito nos mesmos locais onde você os ativa, como explicado nesta página.

• Defina novos MFAs seguros, que só você tem posse.

• Não consegue acesso à conta em hipótese alguma? Procure pela Coordenação de T.I. (CTI) local para suporte.

5.4 - O que devo fazer para acessar minha conta se meu aparelho for formatado/restaurado de fábrica ou tiver adquirido um novo aparelho?

• https://support.google.com/accounts/answer/185834?hl=pt-BR&ref_topic=2954345

• Acesse a tela de login e informe a sua senha, use os OUTROS MFAs que você definiu para a sua conta e realize o acesso;

  • Para que você realize acessos em situações como essa, é muito importante que você defina múltiplos MFAs;

• Reinstale seu App Autenticador de preferência, o que restaurará o acesso aos seus códigos MFA gerados por ele e você poderá usá-los para acesso à conta.

• Caso também tenha trocado seu número, veja as informações no item anterior.

• Não consegue acesso à conta em hipótese alguma? Procure pela Coordenação de T.I. (CTI) local para suporte.

5.5 - O que devo fazer se após habilitar os mecanismos de MFA receber mensagens de tentativas de acesso à minha conta?

• Isso ocorre devido a algum comportamento suspeito, que pode ser o comprometimento (roubo) de credenciais, em algum momento ou aplicativos/dispositivos que estão tentando se conectar mas após a ativação do MFA não possuem a autorização adequada. Nos casos de roubos de credenciais, normalmente o incidente ocorre pela ação de malwares nos seus dispositivos, que capturam essas informações.

  • A possibilidade de algum aplicativo/dispositivo que você se conectou anteriormente deve ser verificada (verifique os dispositivos - Verifique os aplicativos) e se necessário execute as ações previstas no item "7.1 - Como me conectar a aplicativos de terceiros através da minha conta com MFA ativado (senha de app)?"

• Esses malwares podem ter se instalado através da sua interação com arquivos maliciosos, enviados por anexos ou compartilhados em aplicativos de mensagens, também pela instalação de softwares piratas ou acessos a links maliciosos. Estas ações podem ter sido realizadas por você ou por outras pessoas que compartilham este mesmo dispositivo, seja um dispositivo móvel, desktop, notebook ou outros.

• A sua conta institucional do Google Workspace estará protegida, mas é altamente recomendável que você altere suas senhas nesta e em outras plataformas que faz uso da mesma credencial, pois os criminosos tentarão acesso utilizando estes dados roubados nas mais diversas plataformas;

• Habilite imediatamente o seu MFA nas outras plataformas em que for possível.

• Outra forte recomendação é a instalação de softwares antivírus/antimalwares em seus dispositivos móveis ou não;

• Evite salvar senhas em navegadores, dê preferências a aplicativos de cofre de senhas;

• Não instale extensões desconhecidas em seus navegadores;

• Cuidados com links e arquivos anexos, na dúvida não clique e entre em contato com o remetente por outros meios para confirmar.

• Jamais forneça seus dados, incluindo códigos de autenticação. Na dúvida valide a veracidade da solicitação por outros meios;

5.6 - O processo de alteração de senha do Google Workspace continua o mesmo?

• SIM! O processo de redefinição de senha não foi alterado.

• Veja os passos abaixo de acordo com o seu perfil:

  • Servidor:

    • Google Workspace: https://manuais.ifsp.edu.br/books/e-mail/page/alteracao-de-senha-e-mail-institucional-at-ifspedubr

5.7 - Para quem já possui MFA ativo, algo vai mudar ou deverá ser feito?

• NÃO! O processo de login para quem já possui MFA ativo seguirá como já acontece atualmente.

• Você NÃO receberá a mensagem de advertência para ativação na sua tela de login.

5.8 - Quando tentei criar meu MFA por chaves, o seguinte erro exibido "Algo deu errado - Não foi possível salvar as mudanças. Volte às configurações da conta e tente de novo." o que pode ter acontecido?

• O dispositivo que você está logado e tentando habilitar o login por chaves, não é compartível com este tipo de autenticação. (https://support.google.com/accounts/answer/13548313?hl=pt-BR)

• Escolha outro tipo de MFA ou habilite em outro dispositivo compatível.