O que é autenticação de usuários?
Autenticação é um dos vários processos de cibersegurança que uma empresa pode utilizar para se proteger contra acessos não autorizados. Autenticação de usuários é uma forma de confirmar a identidade de um usuário antes de conceder a ele acesso a um aplicativo, estação de trabalho, ferramenta local ou VPN. O usuário confirma sua identidade apresentando um token de segurança ao servidor ou cliente do provedor.
Tipos de métodos de autenticação de usuários
- Autenticação de dois fatores: é uma forma de autenticação de usuários que acontece após um login bem-sucedido feito com a combinação de nome de usuário e senha ou via logon único. A autenticação de dois fatores abrange métodos como senhas de uso único (OTP, na sigla em inglês), mensagens de SMS, notificações push no celular e token de acesso (dispositivos como a YubiKey).
- Autenticação multifator (MFA): a autenticação multifator (MFA, na sigla em inglês) acrescenta etapas à autenticação de dois fatores. Ela impõe etapas extras com os métodos já citados, por exemplo: informar uma senha, um token de acesso, como uma OTP, e mais um fator, como um token físico (por exemplo, uma YubiKey).
- Autenticação biométrica: a MFA biométrica confirma a identidade do usuário com base em atributos físicos, como reconhecimento facial ou impressão digital.
- MFA contextual: um método avançado de autenticação que confirma a identidade do usuário com base em identificadores relativos, como geolocalização, o endereço IP da solicitação de acesso e períodos do dia. Tomemos a geolocalização como exemplo. Se a empresa sabe que você mora e trabalha em São Paulo, e alguém de Teresina solicita acesso à sua conta, o cliente recusará o acesso, pois o sistema reconhecerá essa solicitação como um acesso não autorizado.
- Logon único (SSO): tecnicamente, o logon único (SSO, na sigla em inglês) é um tipo de autenticação. Falamos sobre MFA e SSO como processos separados pelo fato de serem diferentes. O SSO é um tipo de autenticação relacionado a um provedor federado de identidade. Ele estabelece a identidade de um usuário ― normalmente por um token de identidade, como um JSON Web Token (JWT), gerado pelo provedor de identidade ― que é passado para o cliente para fins de aprovação do acesso. Como o usuário já fez login no provedor (ou seja, o domínio central), a identidade dele é autenticada pelo token de identidade, e o aplicativo concede o acesso.
O que é autorização?
Enquanto a autenticação é a chave que concede acesso a uma ferramenta ou aplicativo web, o processo de autorização engloba vários níveis de acesso que decide se um determinado usuário tem permissão para acessar informações sensíveis. O armazenamento em nuvem é um exemplo onde há implementação de autorização, pois os administradores da conta podem impor requisitos que limitam o acesso e as ações possíveis em relação a documentos.
Um exemplo comum é o OneDrive da Microsoft, onde os administradores de arquivos podem compartilhar documentos com outros usuários, mas não conseguem controlar:
- Quem pode acessar um determinado documento;
- Se o documento é editável ou somente leitura;
- Quem na organização tem direitos de edição;
- Se é possível compartilhar o documento com outras pessoas;
- Se o documento pode ser compartilhado com uma equipe, com a organização ou fora dela.
Os quatro tipos de autorização
- Controle de acesso baseado em atributos (ABAC): a melhor descrição para o controle de acesso baseado em atributos (ABAC, na sigla em inglês) é que se trata de uma autorização de acesso de usuários baseada em políticas. Ele identifica as permissões do usuário antes de aprovar a autorização, geralmente verificando a identidade do usuário, o recurso que ele deseja acessar, a ação que ele deseja executar e o ambiente em que o acesso está sendo solicitado. O acesso é concedido se o usuário atender a todas as permissões.
- Controle de acesso discricionário (DAC): o controle de acesso discricionário (DAC, na sigla em inglês) verifica as permissões de acesso de um grupo ou de um usuário específico. O DAC é uma maneira rápida e segura de autorizar usuários com base em afiliação a grupos ou na identidade do usuário.
- Controle de acesso obrigatório (MAC): em vez de avaliar a afiliação a um grupo ou a identidade do usuário, o controle de acesso obrigatório (MAC, na sigla em inglês) autoriza o usuário no nível do sistema operacional. O MAC define o nível de acesso a um sistema para evitar violações graves de dados.
- Controle de acesso baseado em função (RBAC): o controle de acesso baseado em função (RBAC, na sigla em inglês) é um tipo de autorização que combina as qualidades do DAC e do MAC. Ele define o acesso a arquivos e sistemas com base na função e nas permissões do usuário, restringindo o acesso a funções organizacionais específicas.
No LastPass Business, o acesso a itens específicos ou a pastas compartilhadas do cofre pode se basear em atributos dos usuários, como departamento, função ou nível hierárquico. Por exemplo, registros financeiros só podem ser acessados por usuários do departamento financeiro, enquanto credenciais de TI só podem ser acessadas pela equipe de TI.
Autenticação e autorização
O mercado oferece diversos sistemas de autenticação, assim como há vários tipos de autorização disponíveis para empresas. Mesmo assim, líderes corporativos acreditam que devem escolher apenas uma opção: autenticação ou autorização.
Mas isso não é verdade, pois é possível combinar autorização e autenticação em perfeita harmonia. A autenticação confirma que os usuários são quem dizem ser, validando a identidade deles. Já a autorização concede a usuários autenticados a permissão para acessar um determinado recurso. Quando combinados, esses métodos de proteção fortalecem cada ponto de entrada da empresa, garantindo que todos os dados permaneçam em segurança.
Com o LastPass, sua empresa conta com autenticação e políticas de autorização, dando origem a uma solução completa de identidade.
| Diferença | Autenticação | Autorização |
|---|---|---|
| Foco |
A autenticação tem como foco a verificação de identidade. |
A autorização tem como foco a concessão ou rejeição de acesso a recursos com base na identidade verificada e em permissões. |
| Sequência | A autenticação ocorre antes da autorização. |
O usuário precisa ser autenticado para poder acessar os recursos. |
| Perguntas respondidas |
“Quem é você?” |
“O que você tem permissão para fazer?” |
| Exemplos no LastPass |
|
|
Faça autenticações e autorizações sem senhas
Durante o processo de desenvolvimento da infraestrutura de segurança da empresa, os administradores de gerenciamento de identidade e de acesso (IAM, na sigla em inglês) precisam compreender a fundo o funcionamento de cada recurso, como a autenticação multifator, o logon único e os controles de acesso baseados em função. Embora esse processo pareça ser complexo, o LastPass pode ajudar ao oferecer uma solução de cibersegurança inteligente e descomplicada.
- Incorpore fatores biométricos e de autenticação contextual para intensificar a segurança da sua empresa.
- Ofereça a colaboradores presenciais, remotos e clientes uma experiência de autenticação sem senhas.
- Faça a autenticação de usuários de maneira integrada em todos os dispositivos, sem atrapalhar o fluxo de trabalho nem a produtividade.
- Proteja todos os pontos de acesso, da nuvem aos aplicativos locais, VPNs e espaços de trabalho, para garantir o sucesso da autenticação.
- Garanta que os dados biométricos sejam criptografados no nível do dispositivo e permaneçam no dispositivo do usuário para oferecer mais privacidade e segurança.
- Ofereça personalização para aproveitar diversos métodos de MFA no controle de acesso no nível de grupos ou de usuários.
- Ofereça uma lista centralizada de políticas minuciosas para controlar os direitos de acesso no nível individual, grupal e organizacional.
- Poupe tempo e dinheiro com um processo simples de implantação que dispensa serviços profissionais.
- Automatize o provisionamento com diretórios de usuários, como o Microsoft AD e o Microsoft Entra ID, facilitando as configurações e minimizando o gerenciamento.
- Oferece diversos protocolos de autenticação e planos de autorização para atender a todos os tamanhos de empresa, necessidades de segurança e orçamentos.
