QR Code do Token

[Yern]

Será que seria possível deixar o QR code gerado pro token salvo no painel de usuário do site? Pra por exemplo, quando mudar de aparelho ou mudar de navegador(meu caso), não precisar gerar um novo caso não tenha tirado print?

[Rhaegar]

Olá!

Entendemos a intenção da sugestão, mas é importante esclarecer por que salvar o QR Code do token no painel do usuário não é viável nem recomendado do ponto de vista da segurança.

O objetivo do sistema de autenticação em dois fatores (2FA) é aumentar a proteção da conta, justamente criando uma camada que não possa ser acessada com login e senha comuns.
Se o QR code ficasse salvo no painel, qualquer pessoa que obtivesse login e senha da conta conseguiria acessar o código, escanear e clonar o token, o que anularia completamente o propósito da autenticação.

Além disso, é importante lembrar que:

• Salvar ou tirar print do QR code é uma falha de segurança do próprio usuário. O correto é ativar o token em um app confiável, como o Google Authenticator, e não armazenar imagens do QR, que poderiam vazar.
• Para quem usa Google Authenticator vinculado a uma conta do Google, os tokens são automaticamente recuperados ao reinstalar o app e fazer login na conta.
• Para quem deseja controle total, também é possível gerar backups manuais e exportar os tokens com segurança.

Salvar o QR code no painel traria riscos desnecessários à segurança do sistema e dos usuários, além de transferir uma responsabilidade que é do próprio jogador.

A proposta, por mais prática que pareça à primeira vista, vai contra os princípios de segurança que buscamos manter no MUCABRASIL.

Inclusive, falando por experiência própria, já troquei de aparelho diversas vezes e nunca precisei desativar ou reconfigurar o token. Sempre que fiz login na minha conta Google, os códigos voltaram automaticamente.

Sobre o uso do autenticador diretamente no navegador: vale lembrar que isso também reduz a eficácia da proteção oferecida pelo 2FA. A ideia é justamente que a verificação ocorra em um "dispositivo separado", como um celular, para que mesmo que alguém tenha acesso ao seu PC, ainda não consiga entrar sem o token externo.

Usar o autenticador no mesmo ambiente onde se faz o login (como o próprio navegador) é uma escolha pessoal, mas vai contra a lógica de segurança do 2FA.

Abs.

[Yern]

Entendi e realmente faz sentido. Obrigado.