O que é Single Sign-On?

O logon único (SSO) é uma metodologia de autenticação que permite que os usuários acessem vários recursos com uma única entrada de suas credenciais de login (reivindicação e segredo). O SSO oferece essa experiência de usuário em vários sistemas e domínios. Para manter o acesso sem atrito, o SSO deve se estender aos vários serviços em execução e aos recursos que residem nos data centers e nas plataformas que os usuários consomem. Essas plataformas podem existir como IaaS, PaaS ou como um serviço completo (SaaS), que pode ou não ser compatível com um modelo de confiança.

As iniciativas de SSO geralmente se enquadram na categoria de autenticação de um servidor de diretório: Cada serviço usa as mesmas credenciais de um único diretório, como o Active Directory, ou os ambientes passam o token de autenticação para os aplicativos configurados. As equipes também usam injeção de credenciais e outras tecnologias para fornecer SSO. Independentemente da abordagem, qualquer solução também deve incluir um mecanismo de logon único.

Qual é a função do SSO em uma postura de segurança?

Você pode realizar o SSO por meio de diferentes tecnologias. Uma abordagem mais segura é uma implementação em que os usuários não conhecem a credencial de cada serviço que consomem, mas apenas a principal. Como os usuários não conhecem cada credencial, não há risco de burlar o seu centro de autenticação ou compartilhá-las em plataformas menos seguras.

As organizações geralmente fornecem SSO por meio de um modelo de confiança. Um único provedor de identidade (IdP) detém as credenciais ou controla o acesso a elas. Nesse modelo, cada serviço depende do IdP para verificar a identidade da parte que está acessando. Embora essa abordagem reduza o número de locais que armazenam a credencial, os usuários podem ou não conhecer a credencial autêntica do serviço.

Qualquer projeto de SSO que sincronize as credenciais para cada aplicativo ou serviço é a opção menos segura e raramente, ou nunca, deve ser usado. Em termos de segurança, as organizações trabalham para reduzir o número de vetores de ataque, não para aumentá-los.

Como componente de um ambiente de autenticação avançado, o logon único pode ser combinado com a autenticação multifatorial para fortalecer a verificação da identidade de um usuário e, ao mesmo tempo, minimizar a interrupção. Essa abordagem ajuda as organizações a maximizar a usabilidade e a segurança, especialmente quando combinada com métodos passivos sem senha. Embora alguns tipos de autenticação passiva possam ser mais fracos do que outros, você pode usá-los com métricas de verificação adicionais para vários recursos digitais. Como parte do planejamento do serviço de risco, as equipes de segurança podem organizar seus recursos em categorias de sensibilidade e atribuir os pontos fortes de autenticação correspondentes.

---

Como o SSO ajuda a melhorar os processos internos?

O motivo mais comum pelo qual as equipes de segurança de TI expandem o logon único de seus usuários é oferecer acesso seguro às informações de forma rápida e simples. Quando as organizações implementam esse nível de conveniência para suas informações protegidas, elas obtêm maior eficiência e produtividade. O SSO permite que os usuários se autentiquem apenas uma vez para os vários aplicativos e outros recursos digitais que acessam ao longo do dia. Além da satisfação do usuário, o SSO reduz a fadiga de senhas, um elemento fundamental para incentivar a higiene das credenciais. Outros benefícios incluem eficiência e produtividade mensuráveis. Ele reduz a obstrução de acesso, que às vezes pode ser a raiz da procrastinação na conclusão de um processo comercial. Isso pode ser especialmente verdadeiro para profissionais remotos e fora do horário comercial, que geralmente enfrentam obstáculos de segurança maiores devido à localização. A conveniência do acesso simples reduz o atrito dos processos de negócios realizados em dispositivos móveis, permitindo que eles ocorram rapidamente quando alguém está em trânsito ou trabalhando fora do horário regular.

---

Como a SSO ajuda as empresas a competir?

O envolvimento do consumidor varia desde a simples personalização até transações de alto risco. Essas plataformas de consumo geralmente usam dados comportamentais para identificar interesses e procurar pistas que ajudem a confirmar a identidade do usuário. Os consumidores esperam que suas marcas de confiança os conheçam bem o suficiente para oferecer informações interessantes e permitir que eles realizem o máximo de negócios possível em dispositivos móveis. É nesse ponto que o logon único entra em ação.

A experiência on-line e móvel de hoje exige uma plataforma robusta, apoiada por vários sistemas de back-end para oferecer a experiência cada vez mais sofisticada que os consumidores esperam. Normalmente, eles não toleram a verificação de sua identidade várias vezes em um smartphone. Portanto, embora seja comum que os aplicativos móveis utilizem vários sistemas de back-end, eles não fazem parte da experiência do usuário.

Além do acesso simples, o SSO desempenha um papel no acesso remoto mais profundo e de maior importância. Permitir que seus consumidores façam mais com seus produtos e serviços continua a ser um campo de batalha da concorrência de aplicativos móveis. À medida que a economia digital evolui, os aplicativos móveis conduzem mais tipos de interações comerciais, inclusive as mais arriscadas. Oferecer serviços mais significativos do que a concorrência é uma maneira eficaz de se diferenciar. Mas isso também impõe mais requisitos à sua infraestrutura de autenticação. A conveniência do SSO é importante, mas também é importante a verificação de identidade que corresponda ao risco para a organização. Quanto mais uma organização puder medir o risco contextual de uma solicitação de acesso, maior será o alcance do acesso móvel a informações privadas e confidenciais. Pergunte a si mesmo:

• O usuário está localizado onde esperado (GSM, geolocalização, rede)?
• O dispositivo é reconhecido?
• Os tipos de solicitações refletem o comportamento anterior?
• Qual é o nível de risco dos dados em si?

Com base nessas métricas de risco, o SSO pode trabalhar em conjunto com tipos avançados de autenticação para combinar a verificação de identidade com esse risco, usando a autenticação multifatorial quando necessário:

• Ofereça várias opções de autenticação sem senha, como impressão digital, reconhecimento facial, reconhecimento de voz, push fora da banda, senha de uso único, etc.
• Interrompa o consumidor com uma solicitação de verificação somente quando necessário.
• Use um ou mais tipos de autenticação para obter a força de verificação necessária.

Embora o logon único ofereça conveniência ao consumidor, ele também equilibra a conveniência com a segurança quando usado com outros métodos de autenticação.

---

Quais são os erros comuns na implementação do SSO?

Tanto a TI quanto a linha de negócios devem considerar o valor crescente do logon único como uma curva em aceleração. Quanto mais credenciais um usuário tiver, mais difícil será lembrá-las. Quando a empresa reduz o número de credenciais, é mais provável que os usuários sigam um bom gerenciamento de credenciais.

Essa mesma curva de valor agressiva é impulsionada pela conveniência. Quanto menos você interromper os usuários, mais produtivos (funcionários ou prestadores de serviços) e felizes (consumidores) eles serão. O ideal é que haja uma impressão digital inicial, reconhecimento facial ou alguma outra reivindicação ao entrar no aplicativo ou iniciar uma sessão e nada mais. Independentemente de quantos serviços ou recursos os usuários utilizam, eles não são interrompidos em suas tarefas. No mesmo paradigma, quanto mais o aplicativo ou serviço da Web interromper o usuário com um prompt de autenticação, menos satisfatório e contraproducente ele será. Por esses motivos, as decisões técnicas ou implementações que não realizam o SSO para recursos comumente acessados são as mais prejudiciais.

Limitar a autenticação ao Active Directory (AD)

Embora o AD (assim como o Azure AD) tenha se tornado o principal provedor de identidade, a maioria das organizações tem recursos essenciais que vão além dele. Embora as organizações mais jovens ou menores possam achar que o AD complementado com as soluções de federação da Microsoft seja suficiente para fornecer logon único, a maioria delas é mais heterogênea do que isso.

Dependendo exclusivamente de tecnologias de modelos de confiança

A adoção do SAML e do OIDC tem sido amplamente difundida. Mas ambientes complicados geralmente não conseguem oferecer cobertura total. Surpreendentemente, vários serviços baseados em SaaS não oferecem suporte à federação ou cobram mais por isso do que as organizações estão dispostas a pagar. Por outro lado, as tecnologias record/play ou um gateway de acesso gerenciado centralmente preenchem as lacunas da cobertura de logon único.

Compreender mal a experiência de autenticação dos seus usuários

Muitas vezes, as organizações de TI não conhecem as diferentes personas dos usuários que acessam durante a semana. Sem uma visão clara, eles não podem priorizar qual recurso adicionar à sua infraestrutura de logon único. Além disso, os serviços que os departamentos ou linhas de negócios consomem normalmente não são incluídos no planejamento de SSO.

---

Como o site NetIQ fornece SSO?

OpenText NetIQ oferece cinco abordagens diferentes para fornecer SSO:

OpenText™ NetIQ™ Access Manager

Usando uma variedade de tecnologias, oNetIQ Access Manager tem várias maneiras de fornecer SSO para qualquer intranet ou serviço baseado em nuvem. Independentemente da interface que seus aplicativos possam ou não ter, seus usuários (funcionários, clientes, etc.) obtêm acesso rápido e conveniente. Ao mesmo tempo, o NetIQ Access Manager oferece controle total de acesso usando seus processos atuais.

Além das vantagens do SSO, o NetIQ Access Manager oferece acesso com um clique a aplicativos da Web por meio de ícones de configuração fácil no miniportal. NetIQ O miniportal incorporado do Access Manager não se destina a substituir o que você já tem, mas sim a ser uma opção para aqueles que não têm um. O portal é leve para os administradores ativarem, configurarem e manterem, além de ser intuitivo para qualquer usuário. NetIQ A interface de acesso rápido do Access Manager aprimora a experiência de logon único.

NetIQ O Access Manager oferece à sua organização três opções para implementar o logon único (SSO) em todos os seus aplicativos baseados em nuvem e intranet:

• Access Gateway - o que há de mais moderno em gerenciamento de acesso, tanto para controle de acesso quanto para renderização de logon único, o Access Gateway é a melhor maneira de proporcionar uma experiência de usuário perfeita em vários serviços e ambientes complexos (nuvem, fora da nuvem, híbrido).
• Federação baseada em padrões - SAML, OAuth, OpenID Connect, WS-Trust e WS-Federation - ONetIQ Access Manager oferece suporte a esses aplicativos por meio de um catálogo de conectores ou kit de ferramentas pré-configurado, a partir do qual você pode configurar a confiança entre um provedor de autenticação e um provedor de serviços.
• Assistente de logon único - para o vasto oceano de aplicativos pequenos ou especializados que não oferecem suporte a nenhum tipo de federação, o assistente de SSO atende a todos eles.

NetIQ Gateway do Access Manager

O Gateway é um proxy reverso que você pode colocar na frente de qualquer recurso, independentemente de ele ter seu próprio modelo de segurança ou controles de acesso. Isso permite que você aproveite o mesmo provedor de identidade para o gerenciamento de credenciais. Assim como o assistente de logon único, o Gateway oferece políticas de preenchimento de formulários que podem preencher os formulários HTML. As políticas de preenchimento de formulário examinam cada página de login, aceleradas pelo Access Gateway, para verificar se é possível preencher as informações de credenciais. Independentemente do número de tecnologias de logon único empregadas, o NetIQ Access Manager oferece um ponto central de administração e controle.

Logon único por meio de federação

Para o logon único por meio da federação, o NetIQ Access Manager permite que você configure uma relação de confiança que pode funcionar como um provedor de identidade ou um provedor de serviços, com base em suas necessidades. Você também precisará configurar o tipo de federação (SAML, OAuth, OpenID Connect, WS-Trust ou WS-Federation). Se estiver usando SAML, poderá escolher um dos muitos conectores pré-configurados. Se o catálogo não tiver um conector SAML pré-configurado para o serviço desejado, você poderá usar o kit de ferramentas para configurar o seu próprio.

Single Sign-On por meio do assistente

Para serviços baseados em nuvem que são muito antigos, pequenos ou primitivos para suportar a federação, o Single Sign-On Assistant oferece uma experiência de SSO com o mínimo de esforço. Ele solicita que os usuários façam o download do plug-in do navegador que recupera com segurança as credenciais quando elas são registradas. Depois que o assistente é configurado, os usuários experimentam o SSO quando acessam o aplicativo. O primeiro lugar para procurar conectores de assistente prontos é o NetIQ Access Manager Connector Catalog. Você pode gravar o seu próprio se não conseguir encontrar o conector de que precisa. NetIQ O Access Manager solicita automaticamente que o usuário instale o conector na primeira vez, após o que ele recupera e envia as credenciais do usuário do NetIQ Access Manager para login automático. Ao configurar os conectores do SSO básico para os diferentes aplicativos, você define o conector para o site específico. O SSO básico captura as credenciais dos usuários por meio de um plug-in ou extensão do navegador. Ele armazena com segurança as credenciais do usuário no Identity Server, sem nunca usar o Access Gateway.

OpenText™ NetIQ™ Advanced Authentication

NetIQ Advanced Authentication oferece logon único para usuários em clientes Windows. O suporte a SSO inclui .NET, Java, aplicativos nativos e aplicativos da Web em todos os navegadores populares. É perfeito para os usuários finais, ajudando-os a se concentrar em seu trabalho principal. Mesmo para usuários remotos não conectados a um diretório centralizado, o logon único continua a funcionar em laptops isolados sem conexão com a Internet. O NetIQ Advanced Authentication também oferece troca rápida de usuários, o que significa que ele fornece rapidamente o logon único para quiosques ou estações de trabalho compartilhadas. Ele pode ser acionado com um crachá ou outro método sem contato que seja rápido, simples e altamente seguro.

NetIQ oferece mais opções de logon único para organizações do que qualquer outro fornecedor.