Autenticação de Dois Fatores e Apps Sideloaded

A autenticação de dois fatores (2FA) é uma das medidas de segurança mais eficazes que você pode usar, e ela se torna especialmente importante quando você está fazendo sideload de apps. Usar apps fora da App Store traz algumas considerações específicas sobre 2FA, desde a forma como algumas ferramentas de sideloading interagem com seu Apple ID até o funcionamento de apps autenticadores quando instalados via sideload. Este guia cobre tudo o que você precisa saber.

Por que a 2FA importa ainda mais ao fazer sideload

O sideloading amplia a superfície de ataque do seu iPhone. Se um app malicioso roubasse suas credenciais de login de uma conta importante, a 2FA atua como uma barreira crítica: o invasor precisa não só da sua senha, mas também do acesso ao seu dispositivo de autenticação. Sem 2FA em contas importantes, uma credencial comprometida é tudo o que um invasor precisa. Com 2FA, ele também precisa do código temporário.

É por isso que ativar a 2FA em todas as contas importantes deveria ser um pré-requisito, não uma reflexão tardia, para quem faz sideload de apps.

Tipos de 2FA e seus níveis de segurança

2FA por SMS

A forma mais comum, mas também a mais fraca. Códigos por SMS podem ser interceptados por meio de ataques de troca de SIM (SIM-swapping), nos quais invasores convencem sua operadora a transferir seu número de telefone para o SIM card deles. Ainda assim, é melhor do que não ter 2FA, mas vale a pena fazer upgrade se possível.

Apps autenticadores TOTP

Apps de senha de uso único baseada em tempo (Time-based One-Time Password), como Google Authenticator, Authy ou 1Password, geram códigos localmente no seu dispositivo sem nenhuma comunicação com servidores. Esses códigos mudam a cada 30 segundos e são muito mais difíceis de interceptar do que o SMS. Essa é a recomendação básica para a maioria das contas.

Chaves de segurança físicas

Dispositivos físicos (como a YubiKey) que precisam estar fisicamente presentes para a autenticação. A forma mais forte de 2FA disponível. Particularmente útil para contas de e-mail, bancárias e de desenvolvedor. Algumas YubiKeys suportam NFC, o que facilita o uso com o iPhone.

Passkeys

O sistema de passkeys da Apple incorpora autenticação forte diretamente no dispositivo, substituindo completamente as senhas em serviços compatíveis. As passkeys são resistentes a phishing: elas sincronizam pelo iCloud Keychain, e não existe senha para um app malicioso roubar e reutilizar.

Como as ferramentas de sideloading interagem com sua Apple ID

Essa é uma área crítica para entender. Alguns serviços de sideloading pedem sua Apple ID e senha para assinar apps em seu nome. Se você usar um serviço desse tipo:

• Será solicitado o código de 2FA durante o processo de login
• Depois de autenticado, o serviço pode ter credenciais de longa duração que não exigem 2FA para cada ação subsequente
• Você está confiando que o serviço não vai usar indevidamente suas credenciais

O Scarlet iOS assina com um certificado compartilhado em vez de usar sua Apple ID, então ele não pede sua senha da Apple ID. A contrapartida é que a Apple pode revogar esse certificado compartilhado a qualquer momento. Se um serviço de sideloading pedir sua Apple ID, pergunte-se se o benefício justifica dar a esse serviço acesso à sua conta. Para serviços de maior risco, considere criar uma Apple ID separada, usada apenas para sideloading.

Apps autenticadores via sideload

Alguns usuários optam por instalar via sideload apps autenticadores que não estão disponíveis na App Store, talvez um app TOTP específico, um app companheiro de chave de segurança física, ou uma solução de autenticação auto-hospedada. Se você está fazendo isso, considere:

Códigos de backup são essenciais

Se você instalar via sideload um app autenticador e ele parar de funcionar (devido à revogação de certificado, por exemplo), você pode ficar sem acesso a contas que usam esse app para 2FA. Sempre salve os códigos de backup ao configurar o 2FA em qualquer serviço. Guarde esses códigos de backup em um local seguro e offline.

Exporte suas seeds do TOTP

A maioria dos apps autenticadores permite exportar suas seeds do TOTP: os segredos subjacentes usados para gerar os códigos. Exporte-os periodicamente e armazene-os com segurança. Se seu app parar de funcionar, você poderá importá-los em outro autenticador.

Use múltiplos dispositivos ou um método de backup

Não dependa exclusivamente de um autenticador instalado via sideload para contas críticas. Mantenha um método de autenticação de backup (um dispositivo secundário, chave de segurança física ou códigos de backup) acessível.

Protegendo especificamente o seu Apple ID

Seu Apple ID é a chave mestra do seu dispositivo iOS. Ele deve ter a proteção 2FA mais forte possível:

• Garanta que o 2FA da Apple esteja ativado: Ajustes → [Seu Nome] → Login e Segurança → Autenticação de Dois Fatores
• Revise os dispositivos confiáveis: os números de telefone confiáveis ficam em Login e Segurança, e os dispositivos confiáveis são listados na parte inferior da tela [Seu Nome]
• Remova qualquer dispositivo ou número de telefone que você não reconheça
• Use uma senha forte e exclusiva, que não seja usada em nenhum outro lugar

Recomendações de 2FA por conta para quem faz sideloading

• Apple ID: 2FA nativo da Apple (obrigatório)
• Conta de e-mail: Chave de segurança física ou app TOTP, pois o e-mail é o caminho de recuperação para todas as outras contas
• Banco: O que seu banco oferecer, além de verificar regularmente se há acessos não autorizados
• Redes sociais: App TOTP, no mínimo
• Gerenciador de senhas: App TOTP mais um kit de emergência armazenado com segurança offline

O que fazer se os códigos de 2FA não estiverem funcionando

Os códigos TOTP dependem de o relógio do seu iPhone estar correto. Se os códigos não estiverem funcionando:

1. Verifique se a hora do seu iPhone está definida automaticamente: Ajustes → Geral → Data e Hora → Ajustar Automaticamente: ATIVADO
2. Se estiver usando um app TOTP, procure uma opção de “sincronizar hora” ou “corrigir hora” nas configurações dele
3. Reinicie o aplicativo autenticador
4. Use os códigos de backup como medida de emergência, se necessário

Juntando tudo

2FA e sideloading não estão em conflito: eles trabalham juntos para criar uma experiência segura. Ative um 2FA forte em todas as contas importantes, tenha cuidado com ferramentas de sideloading que pedem seu Apple ID e tenha métodos de autenticação de backup prontos caso um app autenticador instalado via sideload seja interrompido.

Para práticas de segurança mais abrangentes, confira nosso guia sobre segurança no sideloading para iOS e como proteger sua privacidade usando lojas de apps de terceiros.

Um sideloading seguro começa com uma base segura: comece a usar o Scarlet iOS hoje mesmo.