O que é o Nível de Garantia de Autenticação (AAL)?

O que é AAL (Nível de Garantia de Autenticação)?#

Nível de Garantia de Autenticação (AAL) refere-se a uma classificação usada para descrever a força e a confiabilidade dos processos de autenticação. Definido na Publicação Especial SP 800-63-3 do NIST, o AAL ajuda as organizações a determinar o nível apropriado de segurança para suas interações digitais.

Existem três níveis de AAL:

AAL1: Garantia Básica#

• Oferece alguma confiança na autenticação do usuário.
• Normalmente envolve autenticação de fator único, como uma senha ou um dispositivo OTP.

AAL2: Garantia Alta#

• Requer dois fatores diferentes para a autenticação.
• Este nível aborda medidas de segurança adicionais, como resistência a ataques de repetição (replay resistance) e tempos de reautenticação mais curtos.
• As passkeys sincronizadas são compatíveis com AAL2.

AAL3: Garantia Muito Alta#

• Envolve autenticação multifator usando um autenticador baseado em hardware.
• Apresenta requisitos de segurança rigorosos, incluindo resistência à falsificação de verificador (verifier impersonation resistance) e resistência ao comprometimento do verificador (verifier compromise resistance).
• As passkeys vinculadas ao dispositivo são compatíveis com AAL3.

Cada nível é adaptado a diferentes necessidades de segurança, variando de ambientes de baixo risco em AAL1 a demandas de alta segurança em AAL3.

---

Aqui está uma análise mais aprofundada dos níveis de garantia de autenticação e suas implicações:

AAL1: Acessibilidade e Riscos#

• Destinado a aplicações de baixa segurança onde a conveniência é priorizada.
• Vulnerável a ameaças de segurança comuns devido à dependência de formas simples de autenticação, como senhas (por exemplo, Phishing, ataque Man-in-the-Middle, Credential Stuffing, …)

AAL2: Medidas de Segurança Aprimoradas#

• Adequado para transações que exigem maior segurança.
• Combina fatores físicos (por exemplo, tokens de segurança) e baseados em conhecimento (por exemplo, senhas) para reforçar a segurança.

AAL3: Padrões de Segurança Mais Altos#

• Projetado para ambientes de alto risco, garantindo segurança máxima.
• Utiliza medidas criptográficas avançadas e resistência de hardware a adulterações físicas.

Melhorias no AAL Relacionadas a Passkeys#

• O NIST aprova as passkeys sincronizadas (por exemplo, via iCloud Keychain) como compatíveis com AAL2, aprimorando a estrutura de segurança para entidades digitais e abrindo caminho para uma adoção mais ampla de passkeys.
• As passkeys também podem ser usadas em cenários de maior risco como autenticação compatível com AAL3, se forem passkeys vinculadas ao dispositivo, não permitindo a sincronização de passkeys entre dispositivos como no AAL2.

Leia mais sobre a conformidade das passkeys com o AAL neste blog.

---

Perguntas Frequentes sobre o Nível de Garantia de Autenticação (AAL)#

O que é AAL1 e quando é usado?#

O AAL1 fornece segurança de autenticação básica, comumente usada em ambientes de baixo risco onde a conveniência do usuário é uma prioridade.

Como o AAL2 melhora a segurança em relação ao AAL1?#

O AAL2 requer dois fatores de autenticação diferentes, reduzindo significativamente o risco de acesso não autorizado em comparação com o AAL1.

Quais são os requisitos para o AAL3?#

O AAL3 é o nível mais alto de garantia de autenticação, envolvendo autenticadores baseados em hardware e medidas de segurança rigorosas, como resistência à falsificação de verificador.

Como as Passkeys impactam as classificações AAL?#

As passkeys sincronizadas (por exemplo, via iCloud Keychain) são classificadas como compatíveis com AAL2, enquanto as passkeys vinculadas ao dispositivo são classificadas como compatíveis com AAL3. Leia mais sobre isso neste blog.

Sobre a Corbado

Corbado é a Authentication Intelligence Platform para times de CIAM que rodam autenticação consumer em escala. Mostramos o que logs de IDP e ferramentas genéricas de analytics não enxergam: quais dispositivos, versões de SO, navegadores e gerenciadores de credenciais suportam passkeys, por que os registros não viram logins, onde o fluxo WebAuthn falha e quando uma atualização de SO ou navegador quebra silenciosamente o login — tudo sem substituir Okta, Auth0, Ping, Cognito ou seu IDP interno. Dois produtos: Corbado Observe adiciona observabilidade para passkeys e qualquer outro método de login. Corbado Connect entrega passkeys gerenciados com analytics integrado (junto ao seu IDP). VicRoads roda passkeys para mais de 5M de usuários com Corbado (+80% de ativação de passkey). Fale com um especialista em Passkeys →