Autenticação 2FA/MFA no Poder Judiciário

O que é o 2FA/MFA?

Na computação, a autenticação de dois fatores é denominada “Two Factor Authentication” (2FA) ou ainda “Multifactor Authentication - MFA” (Autenticação Multifator), onde mais de um fator de autenticação é usado no acesso a sistemas.

Com o crescimento dos ataques cibernéticos em escala mundial, tornou-se necessário aprimorar as técnicas de segurança para acesso a sistemas de informação, especialmente em relação aos métodos de autenticação tradicionais utilizados, que usavam apenas as informações de usuário e senha. 

É cediço que grande parte dos sistemas de informação corporativos, principalmente os expostos na internet, se tornaram vulneráveis e suscetíveis a ataques de força bruta, onde os agentes criminosos se valem de grandes quantidades de recursos computacionais e da engenharia social para descobrir as credenciais de acesso a sistemas. 

Como forma de mitigar os riscos e impedir estes tipos de ataques, surgiu os conceitos 2FA ou a “Multifactor Authentication” (Autenticação Multifator), onde mais uma camada de segurança é adicionada ao processo de autenticação (log on) de sistemas.

Padrões técnicos de autenticação 2FA/MFA

Estes são os protocolos (padrões técnicos) de autenticação que formam a base para diferentes ferramentas de autenticação que oferecem suporte a 2FA:

OAuth 2.0. Uma abreviação de autorização aberta, OAuth é um padrão aberto que define uma estrutura de autorização que protege recursos do sistema, como arquivos e aplicativos. Ele fornece autorização para interfaces de programação de aplicativos (APIs). Ele não oferece suporte a aplicativos móveis.

OpenID Connect (OIDC). Desenvolvido pela OpenID Foundation, o OIDC adiciona camadas ao protocolo OAuth 2.0 que dão suporte à autenticação e ao gerenciamento de identidade. Ele também dá suporte a aplicativos móveis, APIs e aplicativos baseados em navegador.

Security Assertion Markup Language (SAML). Desenvolvido pela Organization for the Advancement of Structured Information Standards, SAML é um padrão aberto para acesso de logon único a aplicativos baseados em navegador, como sites.

Como funciona o 2FA?

Os aplicativos autenticadores substituem a necessidade de obter um código de verificação usando texto, chamada de voz ou e-mail. 

Por exemplo, para acessar um site ou serviço baseado na web que usa o 2FA ou MFA, é necessário usar um aplicativo como o Google Authenticator ou o Microsoft Authenticator instalado no seu dispositivo móvel (celular). 

Estes aplicativos são gratuitos e podem ser baixados na loja de aplicativos do sistema operacional do seu celular. (Apple Store ou Google Play).

No sistema que você quer acessar, o usuário digita seu nome de usuário e senha como seu fator de conhecimento. Eles são então solicitados a inserir um número de seis dígitos. Em vez de ter que esperar alguns segundos para receber uma mensagem de texto, um autenticador gera o número para eles. Esses números mudam a cada 30 segundos e são diferentes para cada login. Ao inserir o número correto, os usuários concluem o processo de verificação e comprovam a posse do dispositivo correto, que é seu fator de posse.

Uso do 2FA/MFA no Poder Judiciário - Portaria nº 140 do CNJ

Em 22 de Abril de 2024, a Presidência do CNJ editou a portaria nº 140, onde determinou aos órgãos do Poder Judiciário Brasileiro, com exceção do Supremo Tribunal Federal (STF), a implementação de método de autenticação do tipo Múltiplo Fator de Autenticação (MFA) como requisito funcional para acesso a sistemas judiciais sensíveis.

Atualmente, diversos sistemas judiciais do Poder Judiciário já estão fazendo uso do 2FA para acesso aos sistemas, a exemplo do sistema Eproc usado em alguns Tribunais e cortes do país. Um outro exemplo são os sistemas que permitem a autenticação integrada ao GOV BR, que passou a adotar também a autenticação de dois fatores através do seu aplicativo.

De acordo com artigo 1º da portaria do CNJ, o uso do MFA (Multifator de Autenticação) é obrigatório a todos os usuários dos sistemas judiciais sensíveis, não sendo portanto seu uso opcional. Ainda de acordo com a portaria (Art. 2º), somente ficam excluídos dessa obrigatoriedade os serviços públicos que não fazem uso de autenticação.

E se meu celular ou dispositivo móvel for roubado ou perdido?

Nestes casos, como o aplicativo do Google Authenticator ou Microsoft Authenticator se encontra instalado no dispositivo roubado ou furtado, é altamente recomendado, por razões de segurança, que você desative no sistema o seu cadastro 2FA/MFA e refaça o seu cadastramento usando o aplicativo do Google ou Microsoft instalado no novo dispositivo.

Adicionalmente,  como o código de 6 dígitos está sendo exibido no aplicativo instalado no dispositivo roubado ou perdido, você não conseguirá mais acesso ao código, e portanto deverá recadastrar o 2FA no dispositivo que substituiu o antigo.

As orientações aqui dadas são básicas e de caráter geral. Procure entrar em contato diretamente com o suporte do sistema que você acessa para ratificar os procedimentos que devem ser adotados nestes casos.

Conclusão

Apesar do uso do 2FA/MFA ser um pouco chato para os usuários de sistemas, ele é primordial hoje em dia para evitar o acesso não-autorizado a sistemas na internet e mitigar os riscos decorrentes de ataques cibernéticos.

Seguindo os procedimentos de acesso e segurança fornecidos pelos fabricantes dos sistemas, você evitará correr riscos de acesso não-autorizados e eventuais aborrecimentos que podem decorrer do uso de terceiros aos seus dados de acesso.

---

Autor: Rogério Meceni

Especialista em Tecnologia

Mais de 20 anos de atuação na área de TI

Idealizador do MetaJus