Questão de Segurança da Informação — Single Sign-On (SSO) — INSTITUTO AOCP 2023

Single Sign-On (SSO): autenticação única para múltiplos sistemas

Gabarito: letra D. O SSO (Single Sign-On) é um mecanismo de autenticação que permite ao usuário acessar múltiplos sistemas ou aplicativos com uma única autenticação, e pode ser implementado por meio de protocolos como OAuth e OpenID Connect. As demais alternativas distorcem o conceito, apresentando o SSO como algo que exige múltiplos logins, reduz a segurança, serve apenas para pequenas organizações ou não melhora a experiência do usuário — tudo isso é o oposto do que o SSO realmente faz.

O SSO é um dos pilares do gerenciamento de identidades (Identity and Access Management — IAM). Seu objetivo central é eliminar a necessidade de o usuário lembrar e digitar senhas repetidamente para cada sistema corporativo. Em vez disso, o usuário autentica-se uma única vez em um provedor de identidade (Identity Provider — IdP) e, a partir daí, um token de autenticação é gerado e compartilhado com os demais sistemas, que passam a confiar nesse token para conceder acesso. Isso reduz a "fadiga de senhas", melhora a experiência do usuário e centraliza a autenticação, o que facilita a auditoria e a aplicação de políticas de segurança.

A implementação do SSO depende de protocolos padronizados que permitem a troca segura de informações de autenticação entre o IdP e os provedores de serviço (Service Providers — SP). Entre os principais protocolos estão o OAuth, que é um framework de autorização, e o OpenID Connect (OIDC), que é uma camada de autenticação construída sobre o OAuth 2.0. O SAML (Security Assertion Markup Language) também é amplamente utilizado, especialmente em ambientes corporativos, para a troca de dados de autenticação em formato XML. Esses protocolos garantem que o token emitido seja confiável e que a comunicação entre as partes seja segura.

É importante destacar que o SSO não é uma solução que reduz a segurança por si só. Pelo contrário, ao centralizar a autenticação, ele permite que a organização aplique políticas de segurança mais robustas, como a autenticação multifator (MFA), em um único ponto. No entanto, há um risco inerente: se o provedor de identidade for comprometido, todos os sistemas conectados podem ser acessados. Por isso, a segurança do IdP é crítica. Além disso, o SSO não garante privacidade automaticamente — a privacidade depende de como o provedor de identidade compartilha as informações e do consentimento do usuário.

A banca explora, nesta questão, o conhecimento básico sobre o que é o SSO e como ele funciona. A pegadinha está em alternativas que parecem plausíveis à primeira vista, mas que invertem completamente o conceito. A alternativa correta é a única que reconhece a implementação por meio de protocolos padrão, como OAuth e OpenID Connect. As demais apresentam o SSO como algo que ele não é: um mecanismo que exige múltiplos logins, que reduz a segurança, que é limitado a pequenas organizações ou que não melhora a experiência do usuário.

Guarde a essência: SSO = uma única autenticação para acessar vários sistemas, implementado por protocolos como OAuth, OpenID Connect e SAML. É exatamente essa definição que separa a alternativa correta das incorretas.

Alternativa A — ❌ Incorreta

Afirma que o SSO exige que os usuários façam login separadamente em cada sistema. Isso é o oposto do conceito: o SSO permite que o usuário faça login uma única vez e acesse todos os sistemas conectados sem precisar se autenticar novamente. A alternativa descreve o cenário que o SSO busca eliminar, não o que ele faz.

Alternativa B — ❌ Incorreta

Afirma que o SSO reduz a segurança porque usa um único conjunto de credenciais. Na verdade, o SSO centraliza a autenticação, o que pode aumentar a segurança, pois permite aplicar políticas mais fortes (como MFA) em um único ponto. O risco de comprometimento do IdP existe, mas isso não significa que o SSO reduza a segurança por definição. A alternativa confunde o risco potencial com uma característica inerente.

Alternativa C — ❌ Incorreta

Afirma que o SSO é útil apenas para organizações de pequeno porte. Isso é falso: o SSO é especialmente valioso em grandes organizações com muitos sistemas e aplicativos, onde a gestão de múltiplas credenciais se torna complexa. Em pequenas organizações, o benefício pode ser menor, mas não é uma limitação do SSO. A alternativa inverte a lógica de aplicação.

Alternativa D — ✅ Correta ⟵ GABARITO

Afirma que o SSO pode ser implementado por meio de protocolos como OAuth e OpenID Connect. Isso está correto. O OAuth é um framework de autorização, e o OpenID Connect (OIDC) é uma camada de autenticação construída sobre o OAuth 2.0. Ambos são amplamente utilizados para implementar SSO, permitindo que um usuário autentique-se uma vez e acesse múltiplos serviços. O SAML também é um protocolo comum para SSO, mas a alternativa não precisa citar todos — basta que os citados sejam válidos.

Alternativa E — ❌ Incorreta

Afirma que o SSO não afeta a experiência do usuário, pois ele ainda precisa lembrar múltiplas senhas. Isso é o oposto: o SSO melhora a experiência do usuário ao eliminar a necessidade de lembrar e digitar várias senhas. O usuário autentica-se uma única vez e acessa todos os sistemas, reduzindo a fadiga de senhas. A alternativa nega justamente o principal benefício do SSO.

Gabarito: letra D