Autenticação de dois fatores Vanguard (2FA): YubiKey + Google Voice | Blog de Livros
A maioria das instituições financeiras tem alguma forma de autenticação de dois fatores ("2FA") quando você faz login online. Eles pedem algo além do seu nome de usuário e senha. Alguns lugares fazem isso sempre que você faz login; alguns lugares fazem isso apenas quando você faz login a partir de um dispositivo não reconhecido. Alguns lugares usam um dispositivo de hardware ou um aplicativo móvel como segundo fator; alguns lugares enviam um código para o seu e-mail ou uma mensagem de texto para o número do seu celular. Veja o post anterior Proteja suas contas de investimento com um token de segurança: Fidelity, Schwab, E * Trade, Vanguard.
1 Risco de troca SIM
2 Chamada de voz
3 Chave de segurança
4 Código de segurança como backup
4.0.1 Diga não às taxas de gestão
Risco de troca SIM
Configurei o 2FA com o Vanguard para que eles enviassem o código de autenticação por texto para o meu número do Google Voice. Dei ao Vanguard meu número do Google Voice em vez do número do meu celular normal porque um número do Google Voice não tem um cartão SIM e, portanto, é menos suscetível a ataques de troca de SIM. Em um golpe de troca de SIM, os criminosos convencem sua operadora de celular de que você perdeu seu telefone e precisa colocar seu número em um novo cartão SIM que eles controlam. Depois de assumirem o controle do seu número de telefone, eles podem passar pelo processo de "esquecimento da senha" com suas contas online, quando puderem receber códigos de autenticação enviados para o seu número de celular.
Embora o risco de ser atacado dessa forma seja pequeno, não quero esse risco. Não tenho meu número do Google Voice para encaminhar nenhuma chamada ou mensagem de texto para um número de celular. Todas as chamadas e mensagens de texto para o número do Google Voice permanecem no aplicativo Google Voice no meu telefone. Se os criminosos SIM trocaram meu número de celular real, eles ainda não podem receber os códigos de autenticação.
Tentei entrar em minha conta do Vanguard na semana passada para ver quando meus formulários de impostos estariam disponíveis, mas desta vez o código de autenticação nunca veio. Cliquei no link reenviar, mas o código ainda não veio. Enquanto isso, códigos de autenticação de outros lugares chegaram ao meu número do Google Voice muito bem. Então eu sabia que o problema tinha a ver com o Vanguard, não com o Google Voice ou meu telefone.
O Vanguard tinha a opção de reenviar o código de autenticação por uma chamada de voz automática. Quando escolhi essa opção, veio a chamada de voz e consegui obter o código de autenticação da chamada de voz e efetuar o registo dessa forma. Ufa!
Eu pesquisei online e vi que outras pessoas tinham o mesmo problema. Não foi uma falha única. O Vanguard parou de enviar códigos de autenticação para números do Google Voice por algum motivo. Sem o código de autenticação, não poderei fazer login. Uma opção óbvia seria mudar a configuração 2FA para um número de celular normal. O Vanguard ainda envia códigos de autenticação para números regulares de celular, mas não para números do Google Voice. Não quero fazer isso porque gostaria de evitar a troca do SIM.
No momento, o Vanguard ainda está fazendo chamadas de voz automatizadas para números do Google Voice. Posso alterar a configuração de receber uma mensagem de texto para receber uma chamada de voz. No entanto, se o Vanguard parou de enviar mensagens de texto para números do Google Voice porque eles não confiam nos números do Google Voice, é possível que eles parem de fazer chamadas de voz para esses números também.
Por enquanto, mudei para receber chamadas de voz para meu número do Google Voice. Funciona a curto prazo, mas existe o risco de parar de funcionar a qualquer dia.
Além de enviar códigos de segurança por mensagens de texto ou chamadas de voz, o Vanguard também suporta o uso de uma chave de segurança de hardware. Eles não fornecem ou vendem chaves de segurança aos clientes. Você teria que comprá-lo por conta própria.
O Vanguard menciona especificamente as chaves de segurança feitas por uma empresa chamada Yubico. A chave mais barata da Yubico é a chave de segurança Yubico por US $ 20 ou a chave de segurança Yubico NFC por US $ 24,50.
O modelo de $ 20 funciona apenas com computadores com porta USB retangular ("USB-A"). O modelo de US $ 24,50 também funciona com telefones celulares com NFC. A Yubico também fabrica outros modelos mais caros (US $ 45 – US $ 70) que se conectam a portas diferentes e têm mais recursos não exigidos pelo Vanguard. A Vanguard diz que não oferece suporte ao modelo YubiKey 5Ci mais recente (US $ 70).
Chaves de segurança mais baratas feitas por outras empresas que suportam o mesmo padrão da indústria ("FIDO U2F") também podem funcionar, mas para um dispositivo de segurança, eu preferiria a marca. Se o Vanguard parar de fazer chamadas de voz para o meu número do Google Voice, vou comprar a chave de segurança NFC Yubico por $ 24,50. Embora eu não use o aplicativo móvel Vanguard agora, não há problema em pagar US $ 5 extras para deixar essa opção aberta.
Código de segurança como backup
Depois de configurar a chave de segurança com o Vanguard, o Vanguard ainda usará os códigos de segurança por mensagem de texto ou chamada de voz como backup, caso você não tenha a chave de segurança com você quando quiser fazer login. Algumas pessoas preocupadas com a segurança não não gosto disso, porque anula o propósito de ter uma chave de segurança quando alguém pode facilmente contorná-la com um simples clique dizendo que não tem a chave de segurança com eles e o Vanguard voltará a enviar uma mensagem de texto ou fazer uma voz ligar.
No entanto, se você definir o número de telefone do código de segurança para um número do Google Voice, o Vanguard não enviará uma mensagem de texto para lá. Eles podem não fazer uma chamada de voz para lá em um futuro próximo. Isso tornará a chave de segurança o único mecanismo 2FA e não pode ser ignorada. Apenas certifique-se de não perder sua chave de segurança quando não houver alternativa. Ou registre duas chaves de segurança e mantenha-as em locais separados.