O que é Single Sign-On e como sua empresa pode se beneficiar dele

Publicado em 12/05/2021 por Marcela Gava e Sierra Rogers

Você já deve ter se conectado a algum aplicativo por meio da tecnologia SSO. Mas se você ainda tem dúvidas sobre o que é o Single Sign-On, descubra neste texto por que o método pode aumentar a segurança da sua empresa e dos seus clientes.

O que é Single Sign-On

Qual é a parte mais valiosa do seu site? O incrível algoritmo de conversão de arquivos de vídeo? A enorme coleção de IP’s exclusivos? Ou será a maravilhosa experiência de usuário? Talvez alguma dessas opções seja a sua resposta. 

No entanto, para um hacker, nada disso importa. 

O que eles querem são dados pessoais: nomes, endereços, e-mails, senhas e dados de cartões. Ou seja, informações dos usuários que podem ser usadas posteriormente para golpes de phishing, ataques de ransomware e roubo de identidade.

Alguns dos recentes casos de vazamento de dados no Brasil comprovam este argumento. A empresa de financiamento coletivo Vakinha teve 4,8 milhões de dados de seus usuários expostos em 2020, incluindo e-mails, senhas e número de telefone. 

Em 2021, o serviço de entrega James Delivery também registrou ataques de segurança –estima-se que 1,5 milhões de usuários tenham sido afetados.

Também entra no “rol de invadidos” a plataforma de educação Descomplica. Além de e-mails e senhas, a empresa teve dados financeiros de seus clientes roubados.

O que salvou os clientes destas três marcas de danos maiores foi o fato de elas encriptarem dados, o que dificulta o uso deles.

No entanto, infelizmente, quando se trata de ataques cibernéticos não existe prevenção 100% eficaz. 

Entretanto, existem maneiras de reduzir as chances de usuários terem suas senhas roubadas, e o uso de sistemas SSO é uma ótima alternativa. 

O que significa SSO?

A sigla SSO se refere a Single Sign-On (em tradução, início de sessão único). Também conhecido no mercado brasileiro como login único ou autenticação única, trata-se de um sistema de identificação que permite que o site de uma empresa use um site de terceiros confiável para fazer a verificação dos usuários. 

Ao implementar este tipo de sistema, as empresas não precisam mais manter as senhas em seus próprios bancos de dados, diminuindo os problemas de login e os danos que um hacker poderia causar.

Os sistemas SSO funcionam como um provedor de identidade, uma espécie de crachá de identificação. 

Por exemplo, se um motorista é parado no trânsito por excesso de velocidade, o policial não precisa conhecê-lo pessoalmente. Basta solicitar a Carteira Nacional de Habilitação para comprovar a identidade da pessoa ao volante.

Da mesma forma, com o sistema SSO, seu site não comprova a identidade do usuário por si só. Em vez disso, ele consulta um provedor de identidade (como LinkedIn, Microsoft ou Google) para ver se ele pode verificar a identidade do usuário. Se puder, o site da sua empresa aceita e confia na informação.

Como funciona o início de sessão único?

Agora que você já sabe o que é Single Sign-On na teoria, vamos para a prática! Explicar o sistema em linhas gerais é simples, mas explicar o processo de implementação do SSO requer um pouco mais de conhecimento.

No geral, quando um usuário faz login em um sistema, o provedor de serviços ou domínio (vamos usar o endereço site.com.br como exemplo) o autentica por conta própria. Veja quais são os passos tradicionais: 

  1. Como usuário, você acessa uma página interna em site.com.br que verifica se você já está logado. Se estiver, a autenticação única está concluída e o sistema levará você para o serviço que realmente deseja acessar (sua caixa de entrada do Gmail, por exemplo).
    • Se você ainda não estiver logado, uma tela de login será apresentada.
      • Você digita seus dados de login (e-mail e senha) no formulário, o site.com.br verifica essas informações no próprio banco de dados e, então, ou você se conecta ou é recusado.
        • Ao se conectar, o site.com.br ativará uma espécie de rastreador, que pode estar no servidor ou ser enviado a você como um token.

        A partir daí, sempre que você se movimenta pelo site, o sistema apenas verifica se o rastreador –e, consequentemente, sua autenticação– está atualizado.

        Se, em vez disso, você fizesse a autenticação única com um sistema SSO, os passos seriam mais parecidos com estes:

        1. Como usuário, você acessa um portal SSO inserido em site.com.br, que verifica se você já está logado. Se estiver, você é levado para o serviço que quer acessar (novamente, sua caixa de entrada do Gmail, por exemplo).
          • Se você ainda não estiver logado, o site.com.br apresenta opções para autenticação por meio de um provedor de identidade de terceiros (Google, Amazon, Facebook, etc.). Você escolhe o provedor de sua preferência e, em seguida, faz login com ele.
            • Supondo que você escolheu o Google, ele verifica se você é você, verifica se o site.com.br é o site que afirma ser e, em seguida, autentica você com base no banco de dados de senhas do Google, enviando um token de volta para site.com.br.
              • O site.com.br recebe o token do Google, confirmando sua identidade e, então, associa você ao restante dos dados de usuário –preferências, histórico ou carrinho de compras– e pronto.

              Benefícios do início de sessão único para os usuários

              Há bastante pontos positivos para os usuários que interagem com o sistema SSO:

              Conveniência

              Os usuários só precisam se lembrar de um único conjunto de dados de login. Por exemplo, ao conectar o seu site ao login dos usuários no Google, você garante que até mesmo os visitantes mais esporádicos possam se lembrar de como logar. Basta fazer login no Google.

              Transparência

              Os usuários sabem o que está sendo compartilhado de um sistema para outro –pelo menos, em um sistema delegado. É como quando você instala um novo aplicativo em seu celular e ele pede permissão para acessar suas fotos, contatos ou o microfone. Se você não estiver satisfeito com essas opções, pode desativá-las.

              Velocidade

              Com o SSO, os usuários não precisam passar por longos processos de inscrição e autorização. Como o Google já fez toda a verificação de e-mail e coleta de dados, novos usuários podem se inscrever rapidamente apenas fazendo login no Google.

              Segurança

              O usuário também tem a tranquilidade de saber que o proprietário do site que está acessando não tem sua senha armazenada sem criptografia em algum lugar de fácil acesso. O Google continua sendo o principal fator de confiança, permitindo que o usuário interaja com outras plataformas com mais segurança. 

              As vantagens de usar o sistema SSO nas empresas

              Acima, revelamos o que é Single Sign-On e suas vantagens para os usuários, mas falta uma informação importante: o que o sistema SSO traz de benefício para o proprietário do site?

              • Mais inscrições de usuários. A autenticação única retira a barreira de entrada da sua página para que novos clientes possam se inscrever com facilidade e segurança. Se o Facebook, por exemplo, está gerenciando o processo de login, os usuários não se preocupam com o fato do seu site e sua marca não serem tão conhecidos. A confiança aumenta e, consequentemente, as conversões também.
                • Menos trabalho no back end. Ou seja, você não terá que lidar com armazenamento de logins e senhas. Ao mesmo tempo que minimizar o risco de violações e roubos é um ponto essencial, também é muito importante não ter que redefinir as senhas dos usuários a cada cinco minutos. Todo o trabalho pesado de autenticação e senha é gerenciado pelo autenticador confiável.
                  • Coleta de dados. Você também pode acessar outras informações que o Google, o Facebook ou outro provedor disponibiliza. Você tem o benefício da coleta de dados sem ter o incômodo associado a ela.
                    • Risco reduzido. Graças ao SSO, você deixa de estar no ponto de mira dos hackers, pois eles têm menos incentivos para acessar seu site se você não hospedar muitos detalhes de login. Também é menos provável que usuários com senhas extremamente fracas abram brechas na segurança geral do seu site.

                    Em resumo, implementar um sistema de login único pode tornar a vida mais fácil para você e para seus clientes.

                    SSO + MFA: dois é melhor do que um

                    O login único é bastante útil, mas também possui seus pontos fracos. Afinal, se uma conta SSO for hackeada, todas as outras que utilizam o mesmo sistema de autenticação podem ser invadidas. 

                    Uma maneira de neutralizar esse risco é implementar um software de autenticação multifator (MFA, na sigla em inglês) como solução adicional ao seu conjunto de softwares de cibersegurança.

                    Autenticação multifator

                    Trata-se de um método de validação de acesso que exige que os usuários forneçam dois ou mais fatores de verificação. Por exemplo, para fazer um login, além da senha, o sistema multifator solicita que o usuário insira um código de acesso, que pode ser enviado por SMS ou gerado através de um aplicativo.

                    A combinação do início de sessão único com a autenticação multifator faz um trabalho muito mais acurado na proteção de contas de usuários do que o login único sozinho. 

                    Além disso, proporcionar aos usuários a eficiência e as facilidades que o MFA e o SSO oferecem significa reduzir as solicitações de redefinição de senha e as ligações para o suporte técnico.

                    Busca sistemas SSO? Confira nosso catálogo.

                    Esse artigo pode se referir a produtos, programas ou serviços ainda não disponíveis em seu país, ou pode ter restrições legais ou regulatórias. Sugerimos que você consulte o provedor de software diretamente para informações sobre disponibilidade do produto ou conformidade com as leis locais.