Como adicionar autenticação de dois fatores (2FA) a uma credencial

A Strike pode testar assets protegidos por autenticação de dois fatores. Quando você adiciona uma credencial do tipo User & Password, escolhe como a Strike deve completar o segundo fator: com um app de autenticação (TOTP) ou com códigos de verificação por e-mail enviados para uma caixa de e-mail administrada pela Strike.

Este artigo aborda os dois métodos suportados, como configurar cada um e as perguntas mais frequentes sobre a configuração.

Como funciona

A maioria dos apps em produção exige 2FA no login. A Strike completa o segundo fator da mesma forma que um usuário real faria e, em seguida, executa os testes autenticados completos sobre o seu asset, cobrindo vulnerabilidades que aparecem por trás do login (escalação de privilégios, IDOR, broken access control, falhas de lógica de negócio).

O 2FA é opcional e é configurado por credencial. Você pode combinar credenciais com e sem 2FA em um mesmo asset e alterar o método de uma credencial a qualquer momento.

Métodos de 2FA suportados

• App de autenticação: você cola o TOTP secret uma única vez e a Strike gera os códigos rotativos de 6 dígitos em cada execução.

• Código de verificação por e-mail: o app alvo envia um código para uma caixa @strike.email administrada pela Strike; a Strike lê o código e continua o login.

As caixas @strike.email são caixas de e-mail reais, que recebem mensagens normalmente, provisionadas e lidas pela Strike. Você não precisa criá-las nem compartilhar acesso.

Como configurar 2FA em uma credencial

1. Abra o asset e clique em Add credential.

2. Selecione User & Password como tipo de credencial.

3. Preencha o username, a senha e o papel esperado.

4. Em Advanced configuration, clique em Two-factor authentication.

5. Selecione o Method usado pelo app alvo e preencha o campo específico desse método.

6. Clique em Save credential.

Você pode editar a configuração de 2FA mais tarde clicando na linha da credencial para reabri-la. Você também pode configurar as credenciais de um asset a partir de uma Threat Emulation, com Set up na etapa de Scoping. Para ver como as credenciais são compartilhadas entre o asset e a Threat Emulation, consulte Como a configuração é herdada entre um asset e uma Threat Emulation.

Método 1: app de autenticação (TOTP)

Use este método quando o app alvo usa Google Authenticator, Authy, 1Password, Microsoft Authenticator ou qualquer outro app compatível com TOTP.

O que você precisa: o TOTP secret da tela de configuração do autenticador do app alvo. É a sequência alfanumérica que normalmente aparece ao lado do QR code (por exemplo, JBSWY3DPEHPK3PXP). Se apenas o QR code for exibido, a maioria dos apps de autenticação permite ver o secret subjacente depois de escaneá-lo.

Onde colar: no campo Authenticator secret que aparece ao selecionar este método.

É só isso. A Strike gera códigos válidos de 6 dígitos durante toda a execução.

Método 2: código de verificação por e-mail

Use este método quando o app alvo envia um código de uso único para o e-mail do usuário ao fazer login (por exemplo, "Your login code is 123456").

O requisito: o Username da credencial deve terminar em @strike.email. A Strike só recebe os códigos enviados para caixas que administra, e @strike.email é o domínio que ela gerencia para essa finalidade.

Se você já tem uma conta de teste no app alvo: verifique se o endereço de e-mail dela termina em @strike.email (por exemplo, [email protected]). Se não terminar, atualize o e-mail da conta ou crie um novo usuário de teste.

Se você ainda não tem uma conta de teste: cadastre-se no app alvo usando qualquer endereço @strike.email (por exemplo, [email protected]). O e-mail de confirmação do cadastro chega à caixa administrada pela Strike e é lido automaticamente para completar o cadastro. Depois, salve essas credenciais na Strike usando o mesmo username @strike.email.

Qualquer endereço @strike.email funciona sem configuração adicional. Não há caixa para provisionar nem acesso para compartilhar.

Perguntas frequentes

Posso usar os dois métodos de 2FA na mesma credencial?

Não. Escolha o que o app alvo efetivamente usa. Cada credencial corresponde a um único fluxo de login.

E se eu não tiver o TOTP secret, só o QR code?

A maioria dos apps de autenticação (Google Authenticator, Authy, 1Password) permite revelar o secret depois de escanear o QR code. Outra opção é reconfigurar o 2FA na conta de teste e copiar o secret antes de escanear o novo QR code.

A Strike suporta 2FA por SMS?

O suporte a SMS está em expansão. Ainda não há cobertura de números de telefone para todos os países, e a lista de regiões suportadas é atualizada à medida que novos provedores são adicionados. Se o login do seu asset depende de códigos por SMS, entre em contato com seu contato de referência na Strike para verificar se o seu país está coberto.

Alguém de fora da Strike pode ver os e-mails enviados para @strike.email?

Não. Essas caixas são administradas dentro da Strike e não ficam expostas externamente. Elas existem apenas para receber e-mails de verificação e de cadastro para as Threat Emulations que você autoriza.

Posso criar o usuário de teste com @strike.email antes de configurar a Strike?

Sim, e esse é o fluxo recomendado quando ainda não existe uma conta de teste. Cadastre-se diretamente no app alvo com qualquer endereço @strike.email; a Strike lê o e-mail de confirmação. Depois, adicione a credencial na Strike usando esse mesmo username.

O que acontece se a credencial foi criada por um admin?

As credenciais provisionadas pelo admin do workspace são somente leitura para os demais usuários. Você pode abrir o painel para inspecionar a configuração, mas as opções de edição e exclusão ficam desabilitadas. Se algo precisar mudar, entre em contato com seu admin.

A credencial é validada antes de os testes começarem?

Sim. No início de cada execução, o Pre-flight Check verifica se as credenciais configuradas permitem a autenticação. Se o login falhar (senha incorreta, secret expirado, código de verificação não recebido), a execução não começa e você vê um aviso com o problema. Corrija a credencial e clique em Retry. Para mais detalhes, consulte Como funciona o Pre-flight Check.

Posso adicionar 2FA a uma credencial existente?

Sim. Abra o asset, vá até Details e edite a configuração. A partir daí, você pode abrir a credencial, expandir Two-factor authentication, escolher um método e salvar.

Se o Pre-flight Check falhar, são consumidos créditos?

Não. Se o Pre-flight Check detectar um problema, os testes nem chegam a começar e nenhum crédito é consumido. A ideia é justamente detectar e resolver qualquer problema antes da execução, para que não se perca cobertura nem recursos.