Múltiplos Fatores de Autenticação (MFA): o que cai sobre os níveis AAL
Os níveis AAL da NIST SP 800-63B são cobrados com frequência em provas de segurança da informação. Veja as diferenças entre AAL2 e AAL3, os limites de sessão e as regras de senha.
Segurança da Informação · 5 Múltiplos Fatores de Autenticação · Atualizado em
A NIST SP 800-63B trata da autenticação digital de pessoas que acessam sistemas por redes abertas e mede a força desse processo por níveis chamados AAL. Vale um alerta: a versão de 2017 foi arquivada em 2025 e substituída pela 800-63B-4, mas as bancas continuam cobrando o texto original. Veja, a seguir, quatro pontos que mais aparecem.
1. AAL2: um multifator ou dois fatores únicos
O nível intermediário oferece alta confiança de que o requerente controla as credenciais vinculadas à conta. Ele pode ser atendido de duas formas:
- Com um autenticador multifator, que reúne dois fatores em um único evento (OTP multifator, software criptográfico multifator ou dispositivo criptográfico multifator).
- Com dois autenticadores de fator único, desde que um deles seja o segredo memorizado (algo que você sabe) e o outro, um autenticador de posse.
🧠 Memorize: AAL2 é «um MF ou dois SF». Na combinação de dois fatores únicos, a senha ou o PIN é obrigatório.
No AAL2, pelo menos um autenticador SHALL ser resistente a replay, e a intenção de autenticação SHOULD ser demonstrada. Atenção à pegadinha: o quadro-resumo da norma trata a resistência a replay como não exigida no AAL2, mas o texto normativo obriga ao menos um autenticador. Em prova, vale o texto.
2. AAL3: hardware obrigatório e dois fatores distintos
O AAL3 oferece confiança muito alta e se apoia na prova de posse de uma chave, por protocolo criptográfico. Três exigências se destacam:
- Um autenticador baseado em hardware é obrigatório.
- Pelo menos um autenticador deve resistir à personificação do verificador. Um mesmo dispositivo pode cumprir as duas exigências.
- O requerente deve provar posse e controle de dois fatores distintos.
🧠 Memorize: AAL3 = hardware + dois fatores distintos.
A comparação ajuda a fixar a diferença:
- AAL2 versus AAL3: no AAL2, o hardware não é obrigatório e a combinação pode ser um multifator ou dois fatores únicos. No AAL3, o hardware é obrigatório e a exigência de dois fatores distintos é fixa.
- Resistência a canal lateral: no AAL3, ela é apenas recomendada (SHOULD). Quais ataques devem ser considerados fica a cargo da avaliação de risco feita pelo provedor de credenciais.
Toda autenticação e reautenticação no AAL3 deve demonstrar intenção de autenticação, e a comunicação entre requerente e verificador deve ocorrer por canal protegido e autenticado.
3. Sessão: 12 horas e inatividade
A norma fixa limites diferentes para a sessão, conforme o nível:
- Limite absoluto: 12 horas, tanto no AAL2 quanto no AAL3. Ao atingi-lo, a sessão é encerrada.
- Inatividade: 30 minutos no AAL2 e 15 minutos no AAL3.
- Reautenticação no AAL2: pode usar somente um fator (um segredo memorizado ou uma biometria), dentro do limite da sessão.
- Reautenticação no AAL3: deve usar os dois fatores.
💡 Dica: o que muda entre AAL2 e AAL3 é a inatividade e o número de fatores exigidos na reautenticação. O limite de 12 horas é o mesmo.
4. Segredo memorizado e smartphone: 8 escolhido, 6 sorteado
O segredo memorizado, que é a senha ou, se numérico, o PIN, tem tamanhos mínimos diferentes conforme quem o gera:
- Escolhido pelo assinante: mínimo de 8 caracteres.
- Gerado aleatoriamente pelo provedor de credenciais ou pelo verificador: mínimo de 6 caracteres, podendo ser todo numérico.
⚠️ Pegadinha: 8 é o mínimo do segredo escolhido pelo usuário, e 6 é o mínimo do segredo sorteado. Um PIN aleatório de 6 dígitos ainda é considerado adequado pelo modelo de ameaça da norma.
Outras regras importantes para o verificador: aceitar pelo menos 64 caracteres, não truncar o segredo, aceitar espaços e Unicode e comparar o segredo com listas de valores comprometidos ou comuns. A norma não impõe complexidade adicional, porque listas negras, armazenamento seguro com hash e limite de tentativas protegem melhor do que exigências excessivas.
O desbloqueio do smartphone é outro ponto de prova. O PIN ou a biometria usados para desbloquear o aparelho não contam como fator de autenticação. Na biometria, o verificador SHOULD confirmar o desempenho do sensor no AAL2 e SHALL fazê-lo no AAL3.
Continue estudando
A aula completa, os mapas mentais e os flashcards com repetição espaçada deste tema estão disponíveis no plano do MemorizeCards, que ajudam a fixar as diferenças entre AAL2 e AAL3 até o dia da prova. Confira ver os planos e ver o catálogo.
Perguntas frequentes
Qual a diferença entre AAL2 e AAL3 na NIST SP 800-63B?
O AAL2 exige um autenticador multifator ou a combinação de dois fatores únicos, sendo um deles o segredo memorizado. O AAL3 exige autenticador baseado em hardware e dois fatores distintos, com confiança muito alta.
O desbloqueio do smartphone conta como fator de autenticação?
Não. O PIN ou a biometria usados para desbloquear o aparelho não são considerados fatores de autenticação pela norma. O verificador geralmente não sabe se o dispositivo estava bloqueado nem se o desbloqueio atendeu aos requisitos do autenticador.
Qual o tamanho mínimo de senha exigido pela NIST SP 800-63B?
Para segredos escolhidos pelo assinante, o mínimo é de 8 caracteres. Para segredos gerados aleatoriamente pelo provedor de credenciais ou pelo verificador, o mínimo é de 6 caracteres, que podem ser todos numéricos.