Verificação de Identidade e Dispositivo

Um provedor de identidade é o sistema central que autentica usuários e emite credenciais digitais para outros serviços. Os provedores modernos oferecem SSO, MFA e acesso condicional. Exemplos: Okta, Azure AD (Entra ID), Google Workspace, Ping Identity.

O SSO permite que os usuários se autentiquem uma vez com o provedor de identidade e acessem várias aplicações sem inserir novamente as credenciais. Baseia-se nos protocolos SAML 2.0 ou OIDC. Benefício de segurança: menos credenciais significam menos oportunidades de roubo de credenciais; os controles de segurança ficam centralizados no provedor de identidade.

Dois protocolos predominantes de SSO:

• SAML 2.0 — baseado em XML, voltado para empresas, amplamente compatível com aplicações legadas
• OIDC (OpenID Connect) — baseado em JSON/JWT, moderno, criado sobre o OAuth 2.0, usado por aplicações de nuvem e móveis

Ambos delegam a autenticação ao provedor de identidade e retornam um identificador assinado à aplicação.

Os provedores modernos de identidade oferecem acesso condicional: decisões de acesso baseadas em sinais de risco:

• Função do usuário e associação a grupos
• Estado de conformidade do dispositivo
• Localização geográfica
• Horário do dia
• Pontuação de risco (anomalia de autenticação)

Sinais de alto risco acionam MFA reforçada ou bloqueiam completamente o acesso.

O MDM inscreve e gerencia dispositivos, impondo políticas de segurança:

• Exigir bloqueio de tela por PIN ou biometria
• Exigir criptografia do disco
• Forçar atualizações do OS
• Oferecer capacidade de apagar remotamente
• Enviar relatórios de conformidade ao provedor de identidade para o acesso condicional

Exemplos: Microsoft Intune, Jamf (Apple), VMware Workspace ONE.

Os certificados de dispositivo associam uma identidade criptográfica a cada dispositivo gerenciado. São emitidos por uma CA empresarial por meio do MDM. As políticas de Confiança Zero podem exigir um certificado de dispositivo válido antes de conceder acesso — dispositivos pessoais não gerenciados são bloqueados mesmo com credenciais de usuário válidas.

A Confiança Zero usa a telemetria do EDR como um sinal de integridade do dispositivo. Um provedor de identidade pode consultar se o EDR está instalado e íntegro antes de conceder acesso. Um dispositivo comprometido detectado pelo EDR aciona a revogação automática do acesso por meio da integração com o acesso condicional.

O acesso no momento necessário (PIM — Gerenciamento de identidades privilegiadas) concede permissões elevadas somente quando necessário, por uma duração limitada e mediante aprovação. Nenhuma função administrativa é atribuída permanentemente. O Azure AD PIM, as credenciais temporárias do AWS IAM e o HashiCorp Vault implementam esse modelo.

As aplicações também precisam de verificação de identidade. Abordagens:

• Contas de serviço com credenciais de curta duração
• mTLS — TLS mútuo, no qual o cliente e o servidor apresentam certificados
• SPIFFE/SPIRE — estrutura de identidade de cargas de trabalho para microsserviços

Nos ambientes de SaaS e nuvem, o isolamento de identidades impede o acesso entre locatários. O espaço de identidades de cada cliente deve ser estritamente isolado. Um erro que permita a um locatário acessar os dados de outro é uma vulnerabilidade crítica.

Além da autenticação cotidiana, a governança de identidades garante:

• Revisões regulares de acesso (certificações) — os gerentes analisam quem tem acesso
• Concessão e revogação automatizadas de acesso via SCIM
• Contas órfãs detectadas e removidas
• Segregação de funções aplicada

Identidade na Confiança Zero: provedor de identidade centralizado com SSO (SAML/OIDC), MFA e políticas de acesso condicional. Verificação de dispositivos por meio de verificações de conformidade do MDM e certificados de dispositivo. O acesso no momento necessário e o PIM eliminam privilégios administrativos permanentes. Identidade de serviço por meio de mTLS e SPIFFE. A governança de identidades, com revisões de acesso e concessão automatizada via SCIM, garante que o privilégio mínimo seja mantido ao longo do tempo.