Avaliação de risco e confiança de dispositivos no processo de login e autenticação de duplo fator (2FA) no sistema Superlógica

Descrição: Como o Auth0 avalia o risco e a confiança de um dispositivo durante o processo de autenticação?

Solução: O Auth0 utiliza uma série de sinais de risco para determinar a confiança de um dispositivo ou login, considerando fatores como dispositivos novos, localização, mudanças no navegador e sistema operacional, entre outros. Para entender como o Auth0 mede o risco e confiança de dispositivos, considere os seguintes fatores:

1. Novo Dispositivo: Avalia se o usuário está se autenticando com um dispositivo que não foi utilizado nos últimos 30 dias; se for um dispositivo novo, aumenta o risco, podendo exigir 2FA;
2. Localização/IP: Considera se o login ocorre de uma localização geográfica diferente ou a partir de um IP desconhecido; isso pode aumentar o risco e disparar exigências de 2FA;
3. Mudança de navegador ou sistema operacional: Verifica se o navegador ou o sistema operacional usado no login mudou significativamente. Uma mudança assim pode indicar que o dispositivo é novo, o que aumenta o nível de risco;
4. Cookies/Identificação Persistente: Avalia a presença de cookies ou dados persistentes que vinculem o dispositivo à conta; a ausência pode implicar que o dispositivo não é conhecido, aumentando o risco;
5. Cadastro de autenticação em duas etapas (2FA) ou biometria: Verifica se o dispositivo já foi configurado com autenticação biométrica (como digital ou reconhecimento facial) ou com métodos de segurança como o FIDO/WebAuthn. Dispositivos que já passaram por esse cadastro são considerados mais confiáveis;
6. Reputação do dispositivo e sinais de segurança: Usa ferramentas que identificam se o dispositivo tem um histórico confiável — por exemplo, se não apresenta sinais de acesso automatizado (bots) ou comportamento suspeito.

Observação: A pontuação de risco gerada por esses fatores é utilizada no Adaptive MFA. Se a pontuação ultrapassar um limiar configurado, o 2FA será exigido; se o risco for baixo, o login pode prosseguir com menos atrito.