Google Authenticator explicado: como funcionam os códigos de 2FA

A cada 30 segundos, mais ou menos, um número curto no seu telemóvel muda, e um site ao qual nunca mostrou esse telemóvel sabe, de alguma forma, qual deverá ser o novo número. Parece magia, mas é um simples truque baseado num segredo partilhado.

É assim que funcionam o Google Authenticator e aplicações semelhantes. Veja como os códigos são gerados, porque funcionam sem ligação à Internet, como a aplicação se relaciona com a própria Verificação em dois passos da Google e aquilo de que pode e não pode proteger.

Como são gerados os códigos

Quando adiciona uma conta a uma aplicação de autenticação, o serviço fornece-lhe um segredo, normalmente sob a forma de código QR ou chave de configuração, e a aplicação guarda-o. A partir daí, o serviço e o seu telemóvel passam a ter o mesmo segredo. Para gerar um código, a aplicação combina esse segredo com a hora atual, e o serviço faz o mesmo cálculo do seu lado. Se os dois resultados corresponderem, o código é aceite.

Este método é uma norma publicada chamada TOTP, abreviatura de palavra-passe de utilização única baseada no tempo, definida na IETF RFC 6238. Baseia-se num método mais antigo, baseado num contador, substituindo o contador por um valor derivado da hora. A norma determina que a aplicação e o serviço têm de usar o mesmo intervalo temporal e recomenda um valor predefinido de 30 segundos, razão pela qual o código costuma ser atualizado cerca de duas vezes por minuto.

Porque funciona sem ligação à Internet

O código é calculado no seu telemóvel, a partir do segredo guardado e do relógio do dispositivo, pelo que não é necessário enviar nada para o telemóvel. A própria página da aplicação da Google indica que os códigos podem ser gerados mesmo sem ligação à rede ou à rede móvel. O serviço só precisa de fazer o mesmo cálculo quando submete o código.

A consequência é que o relógio é importante. Se a hora do seu telemóvel estiver muito diferente da hora real, os dois cálculos não vão corresponder e o código será rejeitado, apesar de a aplicação estar a funcionar como previsto.

Como se relaciona com a própria Verificação em dois passos da Google

É fácil confundir as duas coisas. A Verificação em dois passos é a funcionalidade de uma Conta Google que pede um segundo passo quando inicia sessão. O Google Authenticator é uma aplicação que pode fornecer esse passo e, segundo a Google, também pode gerar códigos para outros sites e aplicações que suportem a verificação através de aplicações de autenticação. Várias outras aplicações de autenticação seguem a mesma norma, por isso os próprios códigos não estão associados a uma única empresa.

Pode utilizar a aplicação com ou sem uma Conta Google. Ao iniciar sessão, permite que os seus códigos sejam sincronizados entre dispositivos, e a Google afirma que, sem uma conta, continua a ser possível transferi-los manualmente para um novo dispositivo. Os códigos sincronizados dependem dessa Conta Google, pelo que a proteção da própria conta é ainda mais importante. A Google também sugere que configure outras formas de Verificação em dois passos para não perder o acesso à sua conta.

De que protege e de que não protege

Segundo a CISA, os códigos de uma aplicação de autenticação são melhores do que as mensagens de texto, mas continuam vulneráveis a ataques de phishing. Uma página de início de sessão falsa e convincente pode capturar um código enquanto o escreve e utilizá-lo de imediato; apenas os métodos baseados em FIDO, como as chaves de segurança e as chaves de acesso, resistem a esse tipo de ataque. Verificar o endereço de um site antes de introduzir um código faz parte da proteção.

O segredo por detrás dos seus códigos também é sensível. Quem tiver o código QR ou a chave de configuração pode gerar os mesmos códigos, pelo que uma captura de ecrã deve ser tratada como uma palavra-passe. Além disso, uma aplicação de autenticação protege as contas que iniciam sessão através de um serviço. Não pode proteger a frase-semente nem a chave privada de uma carteira.

Lembrete da WEEX: trate a chave de configuração como uma palavra-passe

A WEEX lembra aos utilizadores que nunca devem partilhar um código de utilização única, um código QR ou uma chave de configuração com ninguém, incluindo pessoas que afirmem pertencer ao suporte, uma vez que um serviço legítimo nunca precisa desses dados. Verifique o endereço de um site antes de introduzir um código e guarde qualquer chave ou código de recuperação num local seguro e offline, não numa captura de ecrã nem numa nota na nuvem. Nada do que aqui consta constitui aconselhamento financeiro.

Conclusão

O Google Authenticator gera um código de curta duração a partir de um segredo partilhado com o serviço e da hora atual, razão pela qual funciona offline e pela qual o relógio é importante. É uma das várias aplicações que utilizam a mesma norma; é melhor do que as mensagens de texto, mas continua vulnerável a phishing, e o segredo de configuração merece o mesmo cuidado que uma palavra-passe. Utilizada em conjunto com palavras-passe fortes e hábitos cuidadosos, torna mais difícil assumir o controlo de uma conta.

Perguntas frequentes

1. O que é o Google Authenticator?
É uma aplicação que gera códigos de utilização única usados como segundo passo ao iniciar sessão, tanto em Contas Google como noutros sites e aplicações que suportem a verificação através de aplicações de autenticação.

2. Como é que o Google Authenticator gera códigos sem Internet?
Calcula-os no seu telemóvel a partir de um segredo guardado e da hora atual. O serviço faz o mesmo cálculo para verificar o código, pelo que não é necessário enviar nada para o seu telemóvel.

3. Preciso de uma Conta Google para utilizar o Google Authenticator?
Não. A Google afirma que pode utilizá-lo sem uma conta. Ao iniciar sessão, permite que os seus códigos sejam sincronizados entre dispositivos e, sem uma conta, pode transferi-los manualmente para um novo dispositivo.

4. O Google Authenticator é o mesmo que a Verificação em dois passos da Google?
Não. A Verificação em dois passos é uma funcionalidade de uma Conta Google, e a aplicação é uma das formas de fornecer o segundo passo. A aplicação também funciona com outros sites que suportem códigos de aplicações de autenticação.

5. O Google Authenticator é mais seguro do que os códigos SMS?
Segundo a CISA, os códigos de aplicações de autenticação são melhores do que as mensagens de texto, mas continuam vulneráveis a phishing. As chaves de segurança e as chaves de acesso oferecem uma proteção mais forte contra phishing.