Questão de Segurança da Informação — Single Sign-On (SSO) — INSTITUTO AOCP 2024

Single Sign-On (SSO) no Controle de Acesso

Gabarito: letra E. SSO (Single Sign-On) é a técnica que permite ao usuário autenticar-se uma única vez e acessar múltiplas aplicações ou sistemas sem precisar fornecer credenciais novamente, apoiado em um mecanismo centralizado de autenticação, como um provedor de identidade ou diretório LDAP. As demais alternativas descrevem outros conceitos do controle de acesso: autenticação (A), autorização (B), auditoria (C) e RBAC (D).

O controle de acesso, na segurança da informação, é um processo composto por três pilares fundamentais: autenticação, autorização e auditoria (também chamada de accounting). A autenticação é o processo de verificar a identidade de um usuário ou dispositivo — é quando o sistema confirma que você é realmente quem diz ser, geralmente por meio de credenciais como usuário e senha. A autorização ocorre após a autenticação e define o que esse usuário autenticado pode fazer — quais recursos pode acessar e quais ações pode executar, com base em políticas de segurança. A auditoria, por sua vez, é a coleta e o registro de eventos e atividades de acesso, essencial para monitoramento e investigação de incidentes.

O SSO se insere nesse contexto como uma técnica que otimiza o processo de autenticação. Em vez de o usuário precisar autenticar-se separadamente em cada sistema (e-mail, intranet, sistema de processos, etc.), ele faz login uma única vez e o provedor de identidade centralizado valida suas credenciais e concede acesso a todos os sistemas integrados. Isso melhora a experiência do usuário, reduz a fadiga de senhas e simplifica a administração, pois o gerenciamento de credenciais fica concentrado em um único ponto. O SSO pode ser implementado com tecnologias como LDAP, Kerberos, SAML ou OAuth, e é um componente central dos sistemas de gerenciamento de identidade (IAM).

É importante distinguir o SSO de outros modelos de controle de acesso. O RBAC (Role-Based Access Control) é um modelo que atribui permissões com base nas funções organizacionais dos usuários — as permissões são associadas a papéis, e os usuários são alocados nesses papéis. Já o SSO é uma técnica de autenticação, não um modelo de autorização. Enquanto o RBAC responde "o que você pode fazer?", o SSO responde "como você se autentica uma vez e acessa tudo?". São conceitos complementares, mas distintos.

A pegadinha desta questão está justamente em confundir SSO com os outros pilares do controle de acesso. A banca apresenta definições corretas de autenticação, autorização, auditoria e RBAC como distratores, e o candidato que não domina a diferença entre esses conceitos pode se perder. A chave é lembrar que SSO é sobre autenticação única para múltiplos sistemas, não sobre verificação de identidade em si, nem sobre permissões, nem sobre registro de atividades.

Alternativa A — ❌ Incorreta

Esta alternativa descreve o processo de autenticação, não o SSO. A autenticação é a verificação da identidade do usuário por meio de credenciais, como nome de usuário e senha. O SSO utiliza a autenticação como base, mas vai além: permite que uma única autenticação seja suficiente para acessar vários sistemas. A alternativa confunde o mecanismo de verificação de identidade com a técnica que otimiza esse processo em um ambiente multi-aplicação.

Alternativa B — ❌ Incorreta

Esta alternativa descreve a autorização, que é o processo de determinar quais ações e recursos um usuário autenticado tem permissão para acessar, baseado em políticas de segurança. A autorização é um pilar distinto do controle de acesso, que ocorre após a autenticação. O SSO não define permissões; ele apenas facilita a autenticação única. A alternativa troca o conceito de SSO pelo de autorização.

Alternativa C — ❌ Incorreta

Esta alternativa descreve a auditoria (ou accounting), que envolve a coleta e o registro de eventos e atividades de acesso, como tentativas de autenticação e ações de usuários. Os logs gerados são essenciais para monitoramento e investigação de incidentes. A auditoria é outro pilar do controle de acesso, mas não é o que o SSO representa. A alternativa confunde SSO com o processo de registro e monitoramento de atividades.

Alternativa D — ❌ Incorreta

Esta alternativa descreve o RBAC (Role-Based Access Control), um modelo de controle de acesso que atribui permissões com base nas funções organizacionais dos usuários. No RBAC, as permissões são associadas a papéis, e os usuários são alocados nesses papéis, simplificando a administração. Embora o RBAC seja um conceito importante no controle de acesso, ele não é o SSO. A alternativa troca a técnica de autenticação única pelo modelo de autorização baseado em funções.

Alternativa E — ✅ Correta ⟵ GABARITO

Esta alternativa define corretamente o SSO: uma técnica que permite aos usuários acessar várias aplicações ou sistemas com uma única autenticação bem-sucedida. Ela destaca os benefícios — melhora a experiência do usuário e simplifica a administração de senhas — e menciona corretamente a necessidade de um mecanismo de autenticação centralizado, como um diretório LDAP ou um provedor de identidade. É exatamente essa a definição de Single Sign-On no contexto de controle de acesso.

Gabarito: letra E