Evolução dos Métodos de Autenticação em Segurança da Informação: Uma Perspectiva Histórica até 2025

Figura 1 — Fonte: Autor (Santana, 2025). Evolução dos Métodos de Autenticação em Segurança da Informação

Introdução

A autenticação, essencial para a segurança da informação, consiste na verificação da identidade de uma entidade. Sob múltiplas perspectivas, “a autenticação é o processo de verificar a identidade de uma persona, dispositivo ou processo. Em outras palavras, é a garantia de que uma entidade é quem ela alega ser” (STALLINGS; BROWN, 2014). Essa definição fundamental encontra eco em diversas outras perspectivas:

• A ISO/IEC 9594–8 define a autenticação como a “confirmação de que uma entidade é quem ela alega ser”.
• Para Bruce Schneier, autenticação é o “processo de provar sua identidade para o sistema e provar a identidade do sistema para você”.
• Para OWASP (Open Web Application Security Project) implica que a autenticação é o “processo fundamental de estabelecer a identidade de um usuário ou sistema para que os controles de autorização e outros mecanismos de segurança possam ser aplicados corretamente”.
• O NIST Cybersecurity Framework descreve a autenticação como o “processo de verificar a identidade de um usuário, processo ou dispositivo, frequentemente como um pré-requisito para permitir o acesso a recursos”.
• O CISSP CBK concisamente a define como a “verificação e validação da identidade alegada”.

Essas definições, embora com nuances, convergem para o conceito central de estabelecer a genuinidade de uma identidade.

Figura 2 — Fonte: Autor (Santana, 2025). Princípios fundamentais da autenticação

A autenticação, um processo fundamental para confirmar a identidade de usuários, dispositivos ou processos, apoia-se em três pilares principais: algo que conhecemos (como senhas e PINs), algo que possuímos (como cartões e tokens) e algo que inerentemente somos (características biométricas, a exemplo das impressões digitais). A combinação inteligente dessas categorias em métodos de autenticação multifatorial eleva consideravelmente a segurança, tornando o acesso por entidades não autorizadas uma tarefa bem mais complexa.

Entretanto, a solidez da segurança digital não se limita à autenticação. É igualmente importante que websites e aplicativos implementem ativamente um conjunto abrangente de regras de segurança, como as diretrizes propostas pelo OWASP (Open Web Application Security Project).

Os princípios do OWASP:

• Mediação Completa: Cada ação deve passar por uma verificação de autorização, confiando na identidade previamente estabelecida pela autenticação.
• Menor Privilégio: O acesso deve ser precisamente limitado ao estritamente necessário para o usuário autenticado desempenhar suas funções.
• Defesa em Profundidade: Embora a autenticação seja uma camada de segurança essencial, outras medidas de proteção são igualmente importantes para mitigar potenciais vulnerabilidades que possam persistir mesmo após uma autenticação bem-sucedida.
• Fail Safe / Security by Default: O acesso é negado como padrão, exigindo um processo de autenticação para que permissões sejam concedidas (embora essa medida, por si só, não proteja contra falhas de segurança internas).

Em suma, uma estratégia de segurança digital verdadeiramente eficaz reside na combinação de uma autenticação robusta com a implementação de práticas de segurança abrangentes. Uma falha, mesmo que aparentemente pequena, no processo de autenticação pode, infelizmente, abrir brechas significativas, comprometendo todo o sistema, independentemente de outras precauções de segurança estarem em vigor.

Com esses fundamentos estabelecidos, convido você a embarcarmos em uma viagem no tempo, explorando a história da autenticação, desde suas formas mais primárias e intuitivas até as sofisticadas tecnologias que moldam a segurança do nosso mundo digital conectado.

Os Primórdios da Autenticação

Figura 3 — Fonte (Santana, 2025) — Os Primórdios da Autenticação: Senhas e Chaves Físicas

Os primeiros sistemas computacionais multiusuário enfrentaram um desafio fundamental, como permitir que vários indivíduos compartilhassem um recurso caro e centralizado (o mainframe) enquanto mantinham seus dados e trabalhos separados e privados? A solução espelhou um conceito secular do mundo físico, o uso de um segredo ou um objeto único para controlar o acesso.

Senhas

A primeira implementação documentada de senhas em um sistema computacional ocorreu na década de 1960, no Massachusetts Institute of Technology (MIT). Fernando Corbató, trabalhando no desenvolvimento do Compatible Time-Sharing System (CTSS), introduziu contas de usuário protegidas por senha. O objetivo era prático e direto, permitir que múltiplos usuários, conectados ao mainframe da universidade através de terminais, pudessem fazer login com um nome de usuário e uma senha secreta para acessar e gerenciar seus próprios arquivos de forma privada. Este sistema pioneiro estabeleceu o paradigma da autenticação baseada em “algo que você sabe” no mundo digital, uma abordagem que, apesar de suas fragilidades inerentes, permanece ubíqua até hoje.

Referências

STALLINGS, William; BROWN, Lawrie. Segurança de Computadores: Princípios e Prática. 2° Edição. São Paulo: Pearson Education do Brasil, 2014.

ISO/IEC 9594–8:2008. Information technology — Open Systems Interconnection — The Directory: Authentication framework. [Genebra]: ISO/IEC, 2008.

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. Framework for improving critical infrastructure cybersecurity. [S. l.], 2014. Disponível em: https://www.nist.gov/cyberframework. Acesso em: 27 abr. 2025.

SCHNEIER, Bruce. Applied cryptography: protocols, algorithms, and source code in C. 2. ed. New York: John Wiley & Sons, 1996.

OPEN WEB APPLICATION SECURITY PROJECT. OWASP principles. [S. l.], [data de publicação, se disponível]. Disponível em: https://owasp.org/www-project-top-ten/. Acesso em: 27 abr. 2025.

STALLINGS, William. Cryptography and Network Security: Principles and Practice. [Número da Edição]. Upper Saddle River, NJ: Prentice Hall, [Ano de Publicação].

SCHNEIER, Bruce. Applied Cryptography: Protocols, Algorithms, and Source Code in C. [Número da Edição]. New York: John Wiley & Sons, [Ano de Publicação].

SMITH, Richard E. Authentication: From Passwords to Public Keys. [Número da Edição]. Boston: Addison-Wesley Professional, [Ano de Publicação].

Normas e Especificações Técnicas (Adaptado para ABNT):

IETF. RFC 2828: Internet Security Glossary. [Mês e Ano de Publicação]. Disponível em: <https://www.rfc-editor.org/rfc/rfc2828.txt>. Acesso em: [Data do Acesso].

IETF. RFC 6749: The OAuth 2.0 Authorization Framework. [Mês e Ano de Publicação]. Disponível em: <https://www.rfc-editor.org/rfc/rfc6749.txt>. Acesso em: [Data do Acesso].

FIDO ALLIANCE. [Nome da Especificação Específica, Ex: FIDO2 Specifications]. [Ano de Publicação]. Disponível em: <https://fidoalliance.org/specifications/>. Acesso em: [Data do Acesso]. (Adapte com a especificação que você deseja pesquisar).