Single Sign-On (SSO)

Tradicionalmente, o login em uma conta de usuário exigia duas credenciais de login: um nome de usuário e senha. Mas agora, com dezenas de aplicativos, recursos e serviços a considerar, fornecer acesso seguro não é tão simples.

A boa notícia? Em vez de ter que lembrar ou gerenciar diversas senhas, clientes e funcionários podem acessar sistemas essenciais usando apenas um conjunto de credenciais de usuário. Resumindo, é disso que se trata o Logon único (SSO).

Continue lendo para aprender tudo o que você precisa saber sobre a autenticação SSO, incluindo por que ela é importante, como funciona e como proteger sua configuração de SSO.

Login único é uma função de gerenciamento de identificação federada que permite aos usuários acessar vários aplicativos com apenas um único conjunto de credenciais de login. Por exemplo, quando um funcionário digita suas credenciais para fazer login em sua estação de trabalho, ele também é autenticado para acessar seus aplicativos, softwares e sistemas baseado em nuvem.

Da mesma forma, digamos que alguém faça login em um serviço do Google como o Gmail. O SSO os autentica automaticamente, permitindo que sua conta de usuário acesse outros aplicativos do Google, como o YouTube ou o Google Sheets. E, se eles saírem de qualquer um desses aplicativos, serão automaticamente desconectados dos demais.

Por que o SSO é importante?

Basicamente, uma solução SSO é um serviço de autenticação, que é uma parte crucial do gerenciamento de identificação e acesso (IAM). Por sua vez, é também uma base especialmente valiosa para o modelo de segurança Confiança Zero – uma estrutura que defende contra a confiança implícita e requer autenticação contínua do usuário.

Por que isso é importante? Se um sistema não sabe quem é um usuário ou entidade, não há como permitir ou restringir suas ações, criando um grande risco à segurança dos dados. Isto é ainda mais problemático dada a proliferação de aplicações e serviços na nuvem, cada um exigindo o seu próprio conjunto de credenciais de utilizador.

De acordo com as estimativas recentes, uma empresa média usa 210 colaborações e serviços de nuvem próprios, e o funcionário médio usa 36 serviços de nuvem no trabalho. São muitas senhas para gerenciar e, infelizmente, muitas organizações têm uma infraestrutura de TI muito fragmentada para administrá-las adequadamente.

Felizmente, é aí que entra a implementação do SSO. Reduzir várias senhas a um conjunto de credenciais de login não apenas melhora a experiência do usuário, mas promove uma melhor higiene da segurança cibernética para todos.

A implementação do SSO pode fornecer vários benefícios para usuários, empresas e clientes. Por exemplo:

Melhor experiência do usuário, produtividade e economia de custos

Resumir várias senhas em um conjunto unificado de credenciais de usuário pode agilizar o processo de login, permitindo que os funcionários aproveitem os recursos o mais rápido possível. Isto é especialmente vital num ambiente de trabalho híbrido, onde os aplicativos mais essenciais estão cada vez mais no local ou na nuvem.

Em última análise, esse fluxo de trabalho acelerado se traduz em ganhos de produtividade dos funcionários. Melhor ainda, mesmo um serviço que promete poupar um pouco de tempo como o SSO pode ter um impacto financeiro tangível. De acordo com pesquisas, economizar três minutos do tempo de um funcionário pode eventualmente economizar cerca de US$ 1,5 milhão por ano para uma empresa com 5.000 funcionários.

Além disso, uma solução SSO pode minimizar tarefas improdutivas, como solicitações de suporte técnico de TI para redefinições de senha.

Segurança aprimorada por meio de higiene de senha mais forte

Pelo menos 45% das violações resultam de credenciais de login comprometidas e, na maioria dos casos, de segurança de senha fraca. Quando as pessoas precisam se lembrar de várias combinações de nome de usuário e senha, elas eventualmente começam a reutilizar as mesmas para várias contas.

Isso é chamado de “fadiga de senha”. É um grande risco de segurança porque significa que se uma conta for comprometida, todos os outros serviços também poderão ser. Em outras palavras, os invasores poderiam usar a mesma senha para hackear outros aplicativos da vítima.

A implementação do SSO reduz a chamada fatiga de senhas, reduzindo todos os logins para um. Embora um malfeitor possa acessar outros serviços se conseguir comprometer uma conta, o SSO teoricamente torna mais fácil para os indivíduos criarem, lembrarem e usarem senhas fortes.

No entanto, na realidade, nem sempre é esse o caso. É por isso que é melhor oferecer suporte à sua solução SSO com medidas de segurança adicionais – mas falaremos mais sobre isso mais tarde.

Aplicação de políticas e gerenciamento de identidade simplificadas

O SSO fornece um ponto único de entrada para senhas, tornando mais fácil para as equipes de TI aplicar políticas e regras de segurança. Por exemplo, as redefinições de senha de período são muito mais simples de gerenciar com SSO, pois cada usuário tem apenas uma credencial que precisa alterar.

Mais importante ainda, se implementado corretamente, o gerenciamento de identificação federadas armazena credenciais de login internamente em um ambiente controlado. Por outro lado, as organizações armazenam combinações tradicionais de nome de usuário e senha externamente, com pouca visibilidade sobre como são gerenciadas, como em um aplicativo de terceiros. Isto torna mais difícil garantir que as credenciais sejam gerenciadas de acordo com as melhores práticas de segurança de dados.

O SSO é frequentemente referido como uma função de “federação de identidade”. Em termos simples, a federação de identidades é um sistema de confiança entre duas partes para autenticar usuários e trocar informações necessárias para autorizar o seu acesso a determinados recursos. Na maioria das vezes, isso envolve o uso de Autorização aberta (OAuth) — uma estrutura que dá aos aplicativos o poder de conceder acesso seguro sem revelar as informações reais de login.

Geralmente, o fluxo de trabalho de autenticação SSO é um processo rápido e simples:

1. Primeiro, o usuário solicita acesso a um recurso na configuração do SSO, iniciando o processo de login.
2. O provedor de serviços do recurso, como o site host, redireciona o usuário para um provedor de identidade, como a Entrust.
3. O provedor de identificação verifica a identidade do usuário verificando suas credenciais usando um dos vários protocolos SSO.
4. Se o usuário for verificado com sucesso, o provedor de identidade gera um token SSO (também conhecido como token de autenticação). Resumindo, este é um recurso digital que representa a sessão autenticada do usuário.
5. O provedor de identificação envia o token SSO de volta ao provedor de serviços, que então verifica sua validade. Se necessário, o aplicativo, o sistema ou o prestador de serviços pode verificar ainda mais a identidade do usuário, emitindo um pedido de autenticação adicional quando o token de acesso for recebido.
6. Depois de verificado, o provedor de serviços concede ao usuário acesso ao seu recurso ou aplicativo.

Agora, o usuário pode usar todos os outros aplicativos configurados na configuração do SSO. Se tiverem uma sessão ativa, a solução SSO utiliza o mesmo token de autenticação para conceder acesso.

Sim, existem vários protocolos e padrões de SSO. Cada configuração de SSO funciona de maneira um pouco diferente, mas todas seguem o mesmo processo geral. Alguns dos mais comuns incluem:

• Linguagem de marcação de acesso de segurança (SAML): A configuração SAML SSO é um padrão aberto para codificação de texto em linguagem de máquina e transmissão de informações de identidade. Comparado a outros, é um protocolo de autenticação amplamente aplicável, enquanto outros são projetados para casos específicos de uso de acesso seguro. A linguagem de marcação de declaração de segurança também é o principal padrão usado para escrever tokens SSO.
• Autorização aberta (OAuth): OAuth é um protocolo de padrão aberto que criptografa informações de identificação e as transmite entre aplicativos — permitindo assim que os usuários acessem dados de outros aplicativos sem verificar manualmente sua identidade.
• Conexão OpenID (OIDC): Como uma extensão do OAuth, o OIDC permite que vários aplicativos usem uma sessão de login. Como exemplo comum, muitos serviços permitem que você faça login usando uma conta do Facebook ou Google em vez de suas credenciais de usuário.

O logon único pode proporcionar uma ótima experiência ao usuário, mas não é por si só uma solução perfeita. Os hackers podem aproveitar a conveniência do SSO se o controle de acesso e as políticas de senha não forem suficientes.

Se sua autenticação SSO consistir em uma única senha sem autenticação multifator para vários aplicativos, você tornou seus usuários mais produtivos, mas multiplicou seu risco. Por exemplo, se um malfeitor comprometer uma conta SSO, ele poderá ter acesso irrestrito a outros aplicativos dentro da mesma configuração.

Para aliviar os riscos, é melhor que as organizações complementem o SSO com camadas adicionais de segurança, como:

• Autenticação adaptativa baseada em risco, que oferece um desafio crescente quando dados contextuais indicam uma ameaça em potencial. Se alguém tentar fazer login a partir de um dispositivo desconhecido ou não gerenciado, o esquema de autenticação poderá solicitar informações adicionais, como uma senha única.
• Autenticação sem senha baseada em credenciais, que substitui senhas tradicionais por biometria ou tokens para acesso rápido e fácil. E a melhor parte? Nenhuma senha, nada para roubar – nenhuma maneira de romper as defesas.

O SSO pode ser um grande benefício para a produtividade, mas também traz riscos. Portanto, para garantir que sua implementação de SSO seja o mais segura possível, considere as seguintes práticas recomendadas:

1. Mapeie seus aplicativos: Identifique quais softwares, sistemas, aplicativos e serviços devem ser incluídos na sua configuração de SSO.
2. Escolha um provedor de identificação: Procure uma solução de SSO flexível, independente de plataforma e compatível com todos os navegadores. Mais importante ainda, certifique-se de que seu provedor de identificação também oferece vários recursos de segurança para garantir que sua implementação esteja bem protegida.
3. Verifique os privilégios do usuário: No espírito da estrutura de Confiança zero, baseie suas decisões de controle de acesso no conceito de “acesso com privilégios mínimos”. A ideia é que cada usuário receba apenas as permissões mínimas necessárias para desempenhar suas responsabilidades profissionais. Dessa forma, se perder o controle de sua conta, um hacker não poderá usar determinados aplicativos.

Em nossa plataforma IAM, Entrust identify, é oferecido suporte ao SSO, então seus usuários podem acessar todos os aplicativos com uma única credencial forte em vez de ter diferentes credenciais para cada aplicativo na nuvem, no local ou legado. Melhor ainda, ele fornece todos os recursos básicos necessários para implementar uma arquitetura Confiança zero, incluindo:

• Autenticação multifatorial
• Acesso sem senha
• Flexibilidade de implementação
• Integração perfeita
• Gerenciamento centralizado

O melhor de tudo, a Gartner reconheceu a Entrust como Desafiadora no Gartner® Magic Quadrant™ de 2023 em gerenciamento de acesso, destacando nossa capacidade de execução e visão abrangente.