Tudo o que vale a pena saber, nada do que não vale.
O que é um OTP?
Um OTP (palavra-passe de uso único) é um código curto, de uso único — geralmente de 4 a 8 dígitos — válido apenas uma vez e por um curto período. Ele é enviado para um dispositivo do utilizador, na maioria das vezes por SMS, mas também por WhatsApp, chamada de voz, chamada instantânea, e-mail ou gerado localmente por uma aplicação autenticadora. Como expira e não pode ser reutilizado, um OTP comprova, naquele momento, que o utilizador controla o canal para o qual foi enviado.
- Um código de uso único, válido apenas uma vez e por um curto período.
- Entregue via SMS, WhatsApp, voz, chamada instantânea, e-mail ou aplicação.
- Comprova o controlo do canal para o qual foi enviado.
- Validade + uso único é o que torna o produto "descartável".
O que é 2FA?
A autenticação de dois fatores exige duas provas de categorias diferentes: algo que você sabe (uma palavra-passe ou PIN), algo que você possui (um telemóvel, uma chave de segurança, um código OTP) ou algo que você é (uma impressão digital ou reconhecimento facial). O objetivo principal é a independência — um invasor que roubar a sua palavra-passe ainda não terá o segundo fator. Uma palavra-passe mais um código OTP enviado por SMS configura autenticação de dois fatores; duas palavras-passe não configuram, pois são do mesmo tipo de fator.
- Dois fatores de categorias diferentes: saber / ter / ser.
- Palavra-passe + SMS OTP = 2FA; palavra-passe + PIN = não é 2FA.
- A independência é o bem de segurança que importa.
- A MFA generaliza a 2FA para dois ou mais fatores.
Como eles se relacionam
Um OTP (palavra-passe de uso único) é frequentemente o fator "algo que você tem" numa configuração de 2FA (autenticação de dois fatores) — mas é apenas uma opção, e não a mais segura. O OTP por SMS é vulnerável a phishing, troca de SIM e fraudes de envio de SMS, razão pela qual diretrizes como a NIST SP 800-63B tratam o SMS como um autenticador restrito e porque existem alternativas como chamada instantânea, autenticação silenciosa de rede, aplicações autenticadoras e chaves de hardware. Você pode ter um OTP sem 2FA (login de fator único sem palavra-passe por código) e 2FA sem um OTP (palavra-passe mais impressão digital).
- O OTP (One-to-Play) geralmente é o fator "ter", mas não o único.
- O SMS OTP é menos eficaz do que soluções baseadas em aplicações ou em hardware.
- A publicação NIST SP 800-63B restringe o uso de SMS como método de autenticação.
- Existem duas formas de autenticação: OTP sem 2FA e 2FA sem OTP.
OTP vs. 2FA em resumo
| OTP | 2FA | |
|---|---|---|
| O que é | Um código de uso único | Um modelo de segurança de dois fatores |
| Âmbito | Um mecanismo de autenticação | Uma política que combina dois fatores |
| Exemplos | Código por SMS, por voz ou por app | Palavra-passe + OTP, palavra-passe + impressão digital |
| Métodos de entrega | SMS, WhatsApp, voz, flash call, app | Quaisquer dois tipos de fator independentes |
| Relação | Pode ser o segundo fator da 2FA | Pode usar um OTP, ou não |