Questão de Segurança da Informação — Gestão de Identidade e Acesso (IAM, IdP e Identidade Federada) — CESPE / CEBRASPE 2025

IdP, SSO e autenticação: o papel do provedor de identidade

❌ ERRADO. O item está errado porque descreve o IdP (identity provider) de forma incorreta: ele não transmite credenciais em texto para os provedores de serviço usando basic authentication, nem mantém sessões em caches centralizados. No SSO, o IdP autentica o usuário uma única vez e emite um token (como SAML, OAuth/OpenID Connect ou JWT) que é apresentado aos provedores de serviço — as credenciais não são reenviadas a cada serviço, e a comunicação é protegida por criptografia, não por texto claro.

O single sign-on (SSO) é um mecanismo que permite ao usuário autenticar-se uma única vez e acessar múltiplos sistemas sem repetir credenciais. O fluxo típico é: o usuário tenta acessar um serviço; o serviço redireciona para o IdP; o IdP autentica o usuário (validando senha, token, biometria etc.); o IdP emite um token de autenticação; o serviço valida o token e concede acesso. Esse token é a prova da autenticação — não as credenciais em si. Protocolos como SAML, OAuth 2.0 e OpenID Connect são usados justamente para essa troca segura de informações de autenticação entre o IdP e os provedores de serviço.

A afirmação do item contém três erros técnicos graves. Primeiro, o IdP não transmite credenciais em texto para os provedores de serviço — isso seria uma violação grave de segurança e anularia o propósito do SSO. Segundo, o basic authentication (que envia usuário e senha em Base64, facilmente decodificável) não é o mecanismo usado no SSO; os protocolos modernos usam tokens e criptografia. Terceiro, o SSO não depende de "sessões armazenadas em caches centralizados" — embora o IdP possa manter estado de sessão, a arquitetura típica do SSO é stateless do lado do provedor de serviço, que confia no token assinado emitido pelo IdP.

O que o item descreve se assemelha a um anti-padrão de autenticação: transmitir credenciais a cada serviço (o oposto do SSO) e fazê-lo em texto claro (o oposto de qualquer prática segura). O SSO existe exatamente para evitar o reenvio de credenciais, centralizando a autenticação no IdP e distribuindo tokens de confiança. A pegadinha da banca está em inverter o modelo: o candidato que sabe que o IdP "centraliza" a autenticação pode ser levado a aceitar a ideia de "caches centralizados", mas a centralização é do processo de autenticação, não do armazenamento de sessões em texto claro.

Guarde o critério decisivo: no SSO, o IdP emite um token (nunca reenvia credenciais) e os provedores de serviço confiam no token, não nas credenciais do usuário. É exatamente essa troca que o item distorce.

Item — ❌ Errado

O item afirma que o IdP "realiza autenticação transmitindo credenciais em texto para os provedores de serviço, utilizando basic authentication, e mantendo sessões armazenadas em caches centralizados". Cada parte dessa afirmação é tecnicamente incorreta:

• "transmitindo credenciais em texto": no SSO, o IdP não transmite credenciais (senha, por exemplo) para os provedores de serviço. Ele autentica o usuário e emite um token de autenticação (SAML assertion, JWT, etc.) que comprova a identidade. Reenviar credenciais a cada serviço seria o oposto do SSO — seria repetir a autenticação em cada sistema.

• "utilizando basic authentication": o basic authentication envia as credenciais codificadas em Base64 (não criptografadas) no cabeçalho HTTP. Esse método não é usado no SSO moderno, que emprega protocolos como SAML, OAuth 2.0 e OpenID Connect, com tokens assinados e comunicação criptografada (TLS).

• "mantendo sessões armazenadas em caches centralizados": embora o IdP possa gerenciar sessões, a arquitetura do SSO não exige "caches centralizados" de sessão. Pelo contrário, uma das vantagens do token (como o JWT) é ser autossuficiente e stateless — o provedor de serviço valida o token sem precisar consultar um cache centralizado.

O erro central é a inversão do modelo: o SSO existe para evitar o reenvio de credenciais, centralizando a autenticação no IdP e distribuindo tokens de confiança. O item descreve um anti-padrão de segurança, não o funcionamento correto do IdP no SSO.

Gabarito: E (Errado).