Inicia sessão uma vez de manhã e, de repente, o seu email, calendário, chat e mais uma dezena de ferramentas estão todos abertos - sem mais logins. Isto é o single sign-on, ou SSO. É um dos sistemas de autenticação mais comuns no trabalho e, cada vez mais, online com os botões «Iniciar sessão com a Google». Este guia explica o que é o SSO, como funciona e os seus limites honestos.
O SSO é mais forte quando combinado com a autenticação multifator.
A resposta curta
O single sign-on permite-lhe iniciar sessão uma só vez e aceder a muitas aplicações ligadas sem reintroduzir a sua palavra-passe. Autentica-se com um serviço de confiança e ele confirma a sua identidade às outras aplicações por si. Um início de sessão, muitos serviços. Poupa tempo e reduz a pilha de palavras-passe que de outra forma teria de gerir.
Como funciona o SSO
Por trás da comodidade está um fornecedor de identidade central - o serviço em que realmente inicia sessão. Quando se autentica, ele emite a cada aplicação um token seguro que diz «esta pessoa está verificada». As aplicações confiam no token, por isso nunca pedem a sua palavra-passe e nunca a veem. Você vive um único login; as aplicações aceitam a prova em silêncio, em segundo plano. O botão «Iniciar sessão com a Google» é SSO que provavelmente já usou.
As vantagens reais
O SSO é popular por boas razões. Lida com muito menos palavras-passe, o que significa menos fracas ou reutilizadas. Iniciar sessão é mais rápido, sobretudo entre muitas ferramentas de trabalho. E como tudo passa por um único fornecedor de identidade, a segurança pode ser centralizada - autenticação forte e login de dois fatores impostos num só sítio em vez de aplicação a aplicação. Para as empresas, também torna muito mais simples adicionar e remover acessos.
Os limites honestos
Há um senão, e é importante. O SSO transforma a sua conta principal numa única chave: se alguém entrar nela, todas as aplicações ligadas ficam expostas de uma só vez. Isso torna crítica a proteção da conta SSO - uma palavra-passe forte e única e a autenticação de dois fatores não são negociáveis. O SSO também não cobre tudo; muitas das contas que usa não têm qualquer opção de SSO, por isso nunca substitui por completo os bons hábitos com palavras-passe.
Proteja as contas que o SSO não cobre - BitwardenGestor de palavras-passe de código aberto e auditado para palavras-passe únicas em cada conta, incluindo as muitas que não têm opção de single sign-on→SSO versus gestor de palavras-passe
Por vezes as pessoas tratam-nos como rivais; são parceiros. O SSO dá-lhe uma identidade para um conjunto de aplicações ligadas. Um gestor de palavras-passe dá-lhe uma palavra-passe única para cada conta, incluindo todas as que o SSO não alcança. O SSO reduz a frequência com que inicia sessão; um gestor de palavras-passe garante que cada login que resta é forte. Use o SSO onde for oferecido e um gestor de palavras-passe para todo o resto.
Os protocolos do SSO explicados de forma simples (SAML, OAuth, OIDC)
Nunca terá de os configurar, mas conhecer estes três nomes ajuda a perceber o que acontece quando carrega em «Iniciar sessão com a Google». São normas abertas que permitem às aplicações confiar num fornecedor de identidade sem nunca partilhar a sua palavra-passe.
- SAML (Security Assertion Markup Language) é a norma mais antiga, comum em empresas e escolas. Depois de iniciar sessão no fornecedor de identidade, este envia à aplicação uma «asserção» XML assinada que indica quem é. Foi concebido para a autenticação - provar a identidade - e é o motor da maioria dos portais SSO empresariais.
- OAuth 2.0 não é realmente uma norma de início de sessão; é um quadro de autorização. Permite que uma aplicação aja em seu nome dentro de outra - por exemplo, dar a uma aplicação de calendário permissão para ler o seu Google Calendar - entregando-lhe um token de acesso limitado em vez da sua palavra-passe.
- OIDC (OpenID Connect) é uma fina camada de identidade construída sobre o OAuth 2.0. Acrescenta a peça que faltava, a do «quem é esta pessoa», devolvendo um token de identidade (um JWT assinado) ao lado do token de acesso. Os botões para o público «Iniciar sessão com a Google / Apple / Microsoft» que vê online usam quase sempre OIDC.
A conclusão prática: SAML e OIDC tratam de quem é, e o OAuth trata de o que uma aplicação pode fazer. Nos três casos, a aplicação recebe um token assinado de curta duração, nunca as suas credenciais reais - é precisamente por isso que uma palavra-passe SSO obtida por phishing é tão perigosa, e por isso a secção seguinte importa.
O risco do ponto único de falha (e como o limitar)
A comodidade do SSO tem um gume afiado: a sua conta do fornecedor de identidade é uma chave-mestra. Se for comprometida, um atacante herda de uma só vez todas as aplicações ligadas, sem mais palavras-passe. Vale a pena separar dois riscos distintos.
O primeiro é o roubo de conta - alguém faz phishing ou adivinha o seu acesso ao IdP. Por isso a própria conta SSO deve ter as suas defesas mais fortes: uma palavra-passe longa e única e um segundo fator resistente ao phishing, como uma chave física ou uma passkey, nunca apenas a SMS. O segundo é a disponibilidade - se o fornecedor de identidade tiver uma falha, pode ficar bloqueado de fora de tudo o que dependa dele até recuperar. Falhas reais de IdP fizeram exatamente isto a empresas inteiras.
Não pode eliminar estes riscos, mas pode amortecê-los: proteja a conta do IdP mais do que qualquer aplicação isolada, ative a MFA nela, guarde os códigos de recuperação num local seguro e offline, e guarde palavras-passe únicas para as suas contas sem SSO num gestor de palavras-passe para que uma única falha do IdP nunca o deixe completamente de fora.
Perguntas frequentes
«Iniciar sessão com a Google» é o mesmo que SSO?
Sim. Os botões para o público «Iniciar sessão com a Google / Apple / Facebook» são SSO construído sobre a norma OpenID Connect. Autentica-se uma vez com o fornecedor, e este garante a sua identidade ao site externo, que nunca vê nem guarda uma palavra-passe sua.
O SSO significa que não tenho nenhuma palavra-passe?
Não. Continua a ter uma palavra-passe - a da sua conta do fornecedor de identidade. O SSO significa apenas que deixa de criar uma palavra-passe separada para cada aplicação ligada. É por isso que é tão importante proteger essa única palavra-passe que resta (e acrescentar-lhe MFA).
Posso usar o SSO nas minhas contas pessoais, não só no trabalho?
Muitas vezes, sim. Muitos sites para o público permitem iniciar sessão com uma conta Google, Apple ou Microsoft. A contrapartida é que essas contas passam a ser centrais na sua vida online, por isso merecem a maior proteção possível. Para os sites sem opção de SSO, um gestor de palavras-passe continua a ser essencial.
O que acontece se o meu fornecedor de SSO ficar indisponível?
Pode perder temporariamente o acesso a todas as aplicações que dependem dele até o serviço ser restabelecido. Este risco de disponibilidade é uma razão para guardar códigos de recuperação de reserva e garantir que as suas contas mais críticas - e qualquer conta sem SSO - têm as suas próprias palavras-passe únicas guardadas em segurança.
Em resumo
O single sign-on permite-lhe iniciar sessão uma só vez e mover-se livremente entre aplicações ligadas, com menos palavras-passe e segurança centralizada. Nos bastidores, assenta em normas abertas - SAML, OAuth e OIDC - que permitem às aplicações confiar num fornecedor de identidade sem nunca verem a sua palavra-passe. A contrapartida é que a conta SSO se torna um único ponto de falha, por isso tem de ser bem protegida com uma palavra-passe forte e uma MFA resistente ao phishing. E como nunca cobre todas as contas, funciona melhor em conjunto com um gestor de palavras-passe - SSO para as aplicações ligadas, palavras-passe únicas para o resto.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Proteja as suas contas → NordPassPalavras-passe fortes e únicas · scanner de fugas · plano gratuito→Perguntas frequentes
O que é o single sign-on em termos simples?
O single sign-on, ou SSO, permite-lhe iniciar sessão uma só vez e chegar a muitas aplicações ligadas sem voltar a autenticar-se em cada uma. Autentica-se com um serviço de confiança - como o «Iniciar sessão com a Google» ou a sua conta de trabalho - e ele garante a sua identidade às outras aplicações. Um início de sessão, muitos serviços. É por isso que consegue abrir várias ferramentas de trabalho após um único login de manhã.
Como funciona o SSO na prática?
O SSO assenta num fornecedor de identidade central (IdP). Inicia sessão no IdP uma vez; ele emite depois um token seguro a cada aplicação que confirma quem é, para que as aplicações confiem em si sem voltar a pedir uma palavra-passe. As aplicações nunca veem a sua palavra-passe - apenas o token. Nos bastidores, isto usa normas como SAML ou OpenID Connect, mas para si parece apenas iniciar sessão uma só vez.
O SSO é seguro?
Pode melhorar a segurança, mas concentra o risco. Do lado positivo, menos palavras-passe significa menos palavras-passe fracas ou reutilizadas, e o IdP é um único sítio onde impor uma autenticação forte e um login de dois fatores. A contrapartida é que a sua conta SSO se torna uma única chave: se for comprometida, todas as aplicações ligadas ficam expostas. É exatamente por isso que deve proteger a conta SSO com uma palavra-passe forte e única e com autenticação de dois fatores.
Qual é a diferença entre o SSO e um gestor de palavras-passe?
Resolvem problemas diferentes e funcionam bem em conjunto. O SSO dá-lhe uma identidade para um conjunto de aplicações ligadas, para que inicie sessão uma só vez. Um gestor de palavras-passe guarda uma palavra-passe única para cada conta que tem - incluindo as muitas que não suportam SSO. O SSO reduz o número de vezes que inicia sessão; um gestor de palavras-passe garante que cada login que resta é forte e único. A maioria das pessoas precisa dos dois.
