Provedores de identidade: O que é a autenticação baseada em token?

A autenticação baseada em token começa com o login de um usuário em um sistema, dispositivo ou aplicativo, normalmente usando uma senha ou uma pergunta de segurança. Um servidor de autorização valida essa autenticação inicial e depois emite um token de acesso, que é um pequeno dado que permite a um aplicativo cliente fazer uma chamada ou sinal seguro para um servidor de API.

A autenticação baseada em token funciona oferecendo ao servidor uma segunda maneira, de alta garantia, de verificar a identidade do usuário e a autenticidade da solicitação.

Uma vez concluído este protocolo inicial de autenticação baseada em token, o token funciona como um bilhete carimbado: o usuário pode continuar a acessar continuamente os recursos relevantes, sem autenticar novamente, durante todo o ciclo de vida do token. Esse ciclo de vida termina quando o usuário faz o logout ou sai de um aplicativo e também pode ser acionado por um protocolo de tempo limite definido.

A autenticação baseada em token oferece muitos benefícios a vários interessados:

• Experiências do usuário com perfeição: Ao invés de ter que reinserir credenciais e autenticar novamente a cada vez que retornam a um sistema, aplicativo ou página da Web, o usuário mantém acesso contínuo enquanto o token permanecer válido (geralmente até que a sessão seja encerrada pelo logout ou ao fechar o aplicativo).
• Segurança digital adicionada: A autenticação baseada em token adiciona uma camada adicional de segurança sobre a autenticação tradicional por senha ou por servidor. Os tokens são geralmente muito mais difíceis de roubar, hackear ou comprometer do que uma senha.
• Controle administrativo: A autenticação baseada em token dá aos administradores um controle muito mais detalhado e visibilidade sobre cada ação e transação do usuário.
• Carga técnica mais leve: Como a geração de token pode ser totalmente desacoplada da verificação de token, a verificação pode ser realizada por um serviço secundário como o fornecido pela solução de Gerenciamento de identificação e acesso da Entrust. Isso reduz significativamente os locais de carga em servidores e dispositivos internos.

Os tokens de acesso ou de autenticação dão aos usuários acesso a um dispositivo, aplicativo ou outro recurso digital. Há muitos tipos diferentes de tokens disponíveis hoje em dia:

Tokens de hardware

Os tokens de hardware são pequenos dispositivos físicos que os usuários apresentam para ter acesso a um recurso. Os tokens de hardware podem ser conectados (ou seja, por USB, smart card, tags com senha única) ou sem contato (ou seja, tokens por Bluetooth). Estes tokens são portados pelo usuário. Nos primeiros dias da autenticação baseada em token (leia-se: antes dos smartphones), os tokens de hardware eram a única opção. Entretanto, os tokens de hardware são comparativamente caros, estão sujeitos a perda e roubo, consequentemente, muitas vezes requerem um suporte de TI mais significativo.

Tokens de software

Os tokens de software, também chamados tokens desconectados, são verdadeiramente sem contato e podem autenticar a identidade de qualquer lugar. Os exemplos mais comuns de tokens de software são os atuais aplicativos móveis que utilizam smartphones para facilitar a autenticação de dois fatores (2FA), a autenticação multifator (MFA) ou tokens da web por JSON. Os tokens de software são cada vez mais a escolha dominante para autenticação baseada em token, oferecendo vantagens pelo custo reduzido, menor conflito do usuário, menor probabilidade de perda ou roubo e menor risco de ataques humanos.

O tipo mais comum de tokens desconectados ou de software é o token de código aberto, mais especificamente, o JSON Web Token (JWT). JSON é um padrão de código aberto (RFC 7519) que oferece um protocolo simples e independente para codificar informações como um objeto JSON, o que permite que essas informações sejam transmitidas de forma eficiente e segura entre elas. O JWT ganhou popularidade por ser um objeto extremamente compacto que pode ser transmitido em uma variedade de meios eficientes, inclusive através de strings de consulta, atributos de cabeçalho e dentro do corpo de uma solicitação de POST.

O JSON web token é composto por três partes distintas:

• Cabeçalho: O tipo de token e algoritmo de criptografia
• Carga útil: As credenciais de autenticação para o recurso em questão
• Assinatura: Uma chave criptográfica para verificar a autenticidade da carga útil

Há cinco passos essenciais para implementar um protocolo de autenticação baseado em token:

1. Solicitação: Um usuário insere suas credenciais de login
2. Verificação: O servidor verifica as credenciais do usuário
3. Envio do token: O servidor gera um token que será válido por um período de tempo definido
4. Armazenamento: O token é armazenado pelo navegador da web do usuário para uso futuro
5. Validade: O token permanece ativo por um determinado período

Embora a autenticação baseada em token seja sem dúvida um importante passo acima da autenticação tradicional por senha, o token ainda é considerado um “token do portador”, ou seja, o acesso é concedido a quem quer que possua o token. Isso significa que mesmo os tokens de software, como aplicativos móveis, estão sujeitos a roubo ou comprometimento: se um indivíduo malicioso tomar posse de um token, ele poderá usá-lo para obter acesso não autorizado a recursos e informações protegidas. Para proteger-se contra este risco remanescente de comprometimento e violação, é importante construir seu programa de autenticação baseada em tokens em torno das seguintes melhores práticas:

• Manter o token em sigilo: Os usuários devem tratar o token, seja em hardware ou software, como qualquer credencial de segurança. Isso significa que deve ser armazenado de forma segura, nunca compartilhado e só revelado aos serviços verificados, de modo a evitar perda ou roubo.
• Simplificar a carga útil do token: Os tokens são desenvolvidos para usar a quantidade mínima de informações para autenticar um usuário. Embora sejam codificados, também são facilmente decodificados por indivíduos maliciosos. Por essa razão, nunca coloque informações sensíveis ou protegidas dentro da carga útil do token e procure minimizar as demandas à carga útil. Isso também ajudará a aumentar a velocidade/desempenho.
• Definir a expiração do token e permitir a revogação do token: Um token é normalmente definido para expirar automaticamente quando um usuário sai do sistema ou faz uma saída forçada. Mas, tecnicamente, na ausência desse acionador de fim de sessão, um token assinado não tem expiração incorporada. Para proteger contra ameaças, você deve estabelecer uma expiração padrão em todos os tokens e ter um protocolo para revogar os tokens quando necessário.
• Usar sempre conexões HTTPS: Conexões sem segurança tornam incrivelmente fácil a interceptação e o roubo de tokens em trânsito. Utilize sempre conexões HTTPS ao transmitir tokens de e para o servidor de verificação de tokens.
• Considerar camada(s) adicional(is) ou segurança: Dependendo dos seus requisitos de segurança, pode ser necessário adicionar protocolos adicionais de segurança e autenticação sobre a autenticação básica baseada em token. Por exemplo, alguns casos de uso acrescentam um segundo sistema de verificação de tokens que garante especificamente que todos os tokens sejam gerados a partir do servidor correto.