Prós e contras de usar um gerenciador de senhas em vez de um aplicativo autenticador

Quando se trata de manter suas contas online seguras e protegidas, a autenticação de dois fatores (2FA) tem sido um conselho padrão de especialistas em segurança de todo o mundo há anos. À medida que mais e mais pessoas adotam o 2FA, uma pergunta continua surgindo: você deve armazenar códigos de autenticação em um gerenciador de senhas ou mantê-los em um aplicativo autenticador dedicado?

A ideia de que seu login deve contar com dois fatores independentes é um princípio básico de segurança. Os gerenciadores de senhas fornecem um método e os aplicativos autenticadores fornecem outro. Cada abordagem tem compromissos reais que nem sempre são óbvios à primeira vista. Embora ambos tenham sido projetados para protegê-lo, eles funcionam de maneiras completamente diferentes.

A autenticação de dois fatores é baseada em uma ideia simples: se alguém roubar sua senha, ainda assim não conseguirá acessar sua conta sem sua segunda identificação. Alguns aplicativos enviarão uma mensagem de texto com um código único, alguns exibirão um número na tela do seu telefone, alguns enviarão um código por e-mail e outros perguntarão se você deseja usar um código especial gerado por um aplicativo autenticador.

Os gerenciadores de senhas, por outro lado, colocam esses dois fatores na mesma biblioteca, sacrificando alguma separação por conveniência. Não há nada de errado com nenhuma das abordagens, e cada uma reflete um conjunto diferente de prioridades, como quanto atrito você está disposto a aceitar, como você gerencia seus dispositivos e com o que você está mais preocupado em perder acesso. Compreender como essas ferramentas funcionam, como elas diferem e suas necessidades é o segredo para encontrar a ferramenta certa para suas necessidades.

A maioria dos gerenciadores de senhas modernos vem com uma variedade de ferramentas, incluindo ferramentas de autenticação. As opções mais populares, como 1Password e Bitwarden, podem gerar e preencher automaticamente um código de senha única de seis dígitos baseado em tempo ao lado do nome de usuário e da senha. Há benefícios reais em colocar todos os ovos na mesma cesta.

É uma maneira muito simples de preencher automaticamente todas essas informações sem precisar olhar para o telefone e inserir um código antes que ele expire. Outra vantagem para usuários que usam vários dispositivos é que, como o gerenciador de senhas pode sincronizar códigos 2FA em desktops, navegadores e aplicativos móveis, você nunca ficará sem acesso.

Outra vantagem de usar um gerenciador de senhas é que seu dispositivo nunca será bloqueado se você perder ou danificar seu telefone. Como todas as sementes 2FA têm backup com senhas em um cofre criptografado, todas são igualmente seguras. Se você precisar compartilhar dados da conta com familiares ou equipe, é mais fácil conceder acesso ao seu gerenciador de senhas, pois eles não terão acesso à ferramenta Autenticador do seu telefone.

Nem tudo é leite e açúcar, pois há desvantagens em incorporar 2FA a um gerenciador de senhas. O verdadeiro 2FA depende da separação do primeiro fator (a senha) do segundo fator (o código único). Quando ambos estão no mesmo cofre, uma única violação de senha mestra pode expor tudo de uma vez. Da mesma forma, se você encontrar malware na forma de keylogger ou extensão de navegador maliciosa, ambos os malwares podem capturar sua senha e código 2FA na mesma verificação. Usar um telefone separado como aplicativo autenticador cria uma barreira física entre o cofre de senhas e os códigos de login, aumentando a segurança. Armazenar os dois juntos remove esse obstáculo.

Aplicativos autônomos como o Google Authenticator adotam uma abordagem mais isolada porque podem funcionar off-line. Como há isolamento físico, seu segundo fator está, na verdade, em um dispositivo diferente da sua senha, e é menos provável que seus dados sejam roubados.

Por outro lado, esse isolamento tem um custo, pois ainda é necessário copiar manualmente o código de seis dígitos. Além disso, a maioria dos aplicativos de autenticação só funciona com dispositivos móveis; portanto, se o seu telefone não estiver por perto, você estará sem sorte. A menos que você tenha um dos modelos que também oferece um aplicativo de desktop ou extensão de navegador, como 2FA ou 1Password. Se você perder ou danificar seu telefone, também existe o risco de sua conta ser bloqueada temporariamente, exigindo que você configure um dispositivo substituto e restaure seu backup na nuvem antes de poder acessar seus códigos novamente.

Modelo híbrido traz o melhor dos dois mundos

Uma das melhores maneiras de facilitar sua vida e ao mesmo tempo manter tudo seguro é misturar e combinar. A maioria das senhas de uso único e temporário pode ser mantida com segurança em um gerenciador de senhas, mas algumas, como o código da sua conta de e-mail principal e o próprio gerenciador de senhas, são melhor mantidas em uma chave de hardware separada ou em um aplicativo autenticador. Desta forma, se o seu cofre for comprometido, as suas contas mais importantes permanecerão inacessíveis.

O segmento está usando um 2FA integrado de um gerenciador de senhas para executar serviços diários de baixo risco, como sites de compras e assinaturas. Use aplicativos autenticadores dedicados ou chaves de hardware para seu e-mail, serviços bancários e o próprio gerenciador de senhas. Dessa forma, o atrito é minimizado e suas contas mais importantes ficam seguras, mesmo que seu gerenciador de senhas esteja comprometido.

Em última análise, nenhuma das ferramentas é perfeita por si só, e a melhor escolha depende do que você deseja proteger e de quanto movimento você pode tolerar entre os dispositivos. Para a maioria das pessoas, uma abordagem híbrida parece ser o melhor caminho a seguir.