Os requisitos da diretriz tratam, sim, de tamanho de senha, autenticadores sincronizáveis, e-mail, códigos por telefone e SMS e tempo limite de sessão. O material analisado para este artigo não define o que conta como resistente a phishing. Por isso, este guia explica o que o texto da diretriz diz e indica claramente cada trecho que traz a nossa própria leitura.
O que é a diretriz de autenticação do NIST e a quem ela se dirige
A versão final da SP 800-63B-4 tem data de 31 de julho de 2025 no histórico do documento, conforme a página da publicação do NIST em csrc.nist.gov. Sempre que este artigo cita um requisito, ele indica quem precisa cumpri-lo, porque a diretriz atribui suas obrigações a partes específicas.
Muitos requisitos se aplicam a verificadores e CSPs, as partes mencionadas na seção de autenticadores do NIST em pages.nist.gov. Outros se aplicam a órgãos federais. Por exemplo, o texto da diretriz do NIST em pages.nist.gov diz que órgãos federais devem selecionar no mínimo o AAL2 quando informações pessoais são disponibilizadas on-line.
Nossa leitura: essas regras foram escritas para as organizações que operam sistemas de login, e não como instruções para quem tem conta em corretora, exchange ou serviço de e-mail. Ainda assim, elas ajudam o leitor a entender quais opções de login um serviço oferece e por quê. Sozinhas, porém, não mostram como um serviço específico protege seus usuários.
Senha ou MFA: o que o texto exige das senhas
A regra mais clara sobre senhas entre as afirmações analisadas trata das senhas usadas sozinhas. Segundo a seção de autenticadores do NIST em pages.nist.gov, verificadores e CSPs devem exigir que senhas usadas como mecanismo de autenticação de fator único tenham pelo menos 15 caracteres.
Como contexto histórico, o FAQ de identidade digital do NIST descreve o antigo modelo LOA. Segundo ele, no caso dos autenticadores, a maior diferença entre LOA1 e LOA2 era que o tamanho mínimo da senha subia de seis para oito caracteres.
| Regra nas afirmações analisadas | Fonte |
|---|---|
| Senhas de fator único: pelo menos 15 caracteres, exigidos por verificadores e CSPs | Seção de autenticadores do NIST |
| Antigo modelo LOA: o tamanho mínimo da senha passava de seis para oito caracteres entre LOA1 e LOA2 | FAQ do NIST |
Nossa leitura: quando a senha é o único fator, o texto atual pede um mínimo bem maior do que os números do antigo modelo LOA. As afirmações analisadas não fixam um tamanho específico para senhas usadas como um dos fatores dentro de um MFA, então este artigo não indica nenhum.
Passkeys, autenticadores sincronizáveis e AAL3
As afirmações analisadas nunca usam a palavra "passkey". Elas tratam, porém, de uma categoria relacionada: os autenticadores sincronizáveis. O texto da diretriz do NIST em pages.nist.gov diz que autenticadores sincronizáveis não devem ser usados no AAL3 porque exigem que a chave privada seja exportável.
Essa frase traz tanto uma regra quanto a justificativa declarada para ela:
- A regra: autenticadores sincronizáveis ficam de fora do AAL3.
- A justificativa declarada: eles exigem que a chave privada seja exportável.
O que este artigo não consegue resolver com base nas afirmações analisadas:
- Se um produto específico vendido ou rotulado como passkey é um autenticador sincronizável.
- Como a diretriz trata autenticadores sincronizáveis em níveis além do AAL3.
- Se alguma passkey atende a uma definição de resistência a phishing.
Nossa leitura: quem compara uma passkey com uma senha com MFA deveria primeiro descobrir se a passkey em questão sincroniza a chave. É dessa propriedade que a regra depende. Como as afirmações param aí, deixamos em aberto a classificação de passkeys específicas.
E-mail, SMS e códigos por telefone no login multifator
Várias segundas etapas comuns aparecem nas afirmações analisadas. A seção de autenticadores do NIST em pages.nist.gov diz que o e-mail não deve ser usado para autenticação fora de banda (out-of-band). A mesma seção diz que a autenticação fora de banda deve ser considerada inválida se não for concluída em até 10 minutos.
Os códigos por telefone e SMS aparecem no FAQ de identidade digital do NIST. Ele diz que autenticadores que usam a rede telefônica pública comutada, incluindo OTPs por telefone e por SMS, são restritos. As afirmações analisadas não explicam o que "restrito" significa na prática, então este artigo não vai além disso.
| Método | O que dizem as afirmações analisadas |
|---|---|
| E-mail para autenticação fora de banda | Não deve ser usado |
| Autenticação fora de banda em geral | Inválida se não for concluída em até 10 minutos |
| OTPs por telefone e por SMS | Restritos |
Nossa leitura: "MFA" engloba vários tipos de segunda etapa, e a diretriz trata cada um de forma diferente. Quem estiver olhando as opções de login de uma conta de e-mail, corretora ou exchange pode achar essa distinção útil, mas essas regras não dizem qual opção um determinado serviço usa nem quão bem ela funciona.
Tempo limite para nova autenticação no AAL2 e no AAL3
As regras de sessão também mudam conforme o nível. O texto da diretriz do NIST em pages.nist.gov diz que, no AAL2, é obrigatório definir um tempo limite geral para nova autenticação, e ele deveria ser de no máximo 24 horas. No AAL3, o tempo limite geral para nova autenticação deve ser de no máximo 12 horas.
| Nível | Tempo limite geral para nova autenticação |
|---|---|
| AAL2 | Deve ser definido; deveria ser de no máximo 24 horas |
| AAL3 | Deve ser de no máximo 12 horas |
Atenção à redação. No AAL2, o limite usa "should" (deveria), enquanto no AAL3 usa "must" (deve). Este artigo mantém essa diferença, em vez de apresentar os dois como igualmente obrigatórios.
Nossa leitura: se um serviço pede que você faça login de novo depois de certo tempo, isso pode refletir uma política de tempo limite desse tipo. As afirmações não dizem como cada serviço define seus próprios tempos limite.
O que é resistente a phishing e como avaliar afirmações sobre isso
As afirmações analisadas, extraídas do texto da diretriz do NIST em pages.nist.gov, não incluem uma definição de resistência a phishing. Também não dizem se passkeys, autenticadores sincronizáveis ou qualquer outro método atendem a essa definição. Este artigo deixa a questão em aberto de propósito e não toma emprestada uma definição de resumos secundários que não passaram pela revisão de evidências.
Essa cautela vale para afirmações de segurança em geral. O guia de dicas rápidas do CERT.br diz que um boato costuma ter tom alarmista, tratar de assuntos que estão em evidência e não trazer fonte de informação ou citar fontes desconhecidas. Um hábito relacionado, na nossa leitura: quando uma mensagem ou postagem diz que um método de login é seguro ou inseguro, procure o texto primário em que ela se baseia e confira se a redação original diz "deve", "deveria" ou algo mais fraco.
Veja o que este artigo consegue e o que não consegue responder sobre a pergunta central:
- Respondido com base nas afirmações: regras sobre o tamanho de senhas de fator único, e-mail e prazo da autenticação fora de banda, códigos por telefone e SMS, autenticadores sincronizáveis no AAL3 e tempos limite para nova autenticação.
- Em aberto: uma definição de resistência a phishing e como passkeys específicas se encaixam nela.
Limites deste artigo
Este artigo traz informações educativas sobre orientações de autenticação publicadas. Não é recomendação de investimento e não recomenda nenhum produto, corretora, exchange ou serviço. Não aborda partes da diretriz do NIST além das afirmações listadas aqui e não define resistência a phishing. Não avalia como qualquer conta ou serviço específico protege seus usuários.