Página inicial da OpenText.
Tópicos técnicos

O que é autenticação sem senha?

Ilustração de itens de TI com foco em uma lâmpada

Autenticação sem senha

O que é autenticação sem senha?

A autenticação sem senha é o processo de verificação da identidade de alguém sem o uso da reivindicação típica (nome de usuário) e da senha. As ferramentas que injetam credenciais tradicionais em um prompt de login não são sem senha.

Os métodos de autenticação sem senha mais comuns são os biométricos, como impressão digital e reconhecimento facial, e os aplicativos fora de banda, que são comuns em smartphones. Esses aplicativos de smartphone geralmente exigem uma verificação de identificação biométrica, combinando vários fatores em um único processo de autenticação.

O OpenText IAM potencializa seus negócios

O OpenText™ Identity and Access Management (NetIQ) oferece um conjunto abrangente de serviços de identidade e acesso, permitindo que os funcionários acessem recursos com segurança de qualquer lugar, em qualquer dispositivo, em qualquer local e no momento certo. O OpenText Cybersecurity também capacita as organizações a interagir com seus consumidores de forma eficaz e segura.

Por que a autenticação sem senha é popular?

Embora a promessa de autenticação sem senha substituindo as credenciais tradicionais esteja viva há mais de três décadas, a tecnologia disponível hoje a tornou realidade. Em 2022, o mercado sem senha era de US$ 15,6 bilhões, mas espera-se que cresça para mais de US$ 53 bilhões até 2030. Uma grande parte da adoção atual da ausência de senha é possível graças aos smartphones. O relatório Dark Reading "The State of Passwordless", encomendado pela OpenText, informa que 64% dos entrevistados acham importante mudar para um modelo de autenticação totalmente sem senha.

Durante a última década, a conformidade com as exigências do governo foi a força motivadora para que as organizações adotassem tecnologias sem senha:

  • Governo -os órgãos governamentais e do setor público agora estão sujeitos a requisitos específicos de autenticação multifator. Esses requisitos começaram como recomendações, mas, com o passar dos anos, transformaram-se em políticas. As políticas foram implementadas como diretrizes gerais, mas com o tempo evoluíram para mandatos específicos de dois fatores para acesso a documentos confidenciais.
  • Saúde -As violações no setor de saúdenos EUA e em todo o mundo causam mais sofrimento financeiro às organizações desse mercado do que qualquer outro, até mesmo o financeiro. As instituições governamentais responderam com requisitos específicos de autenticação sem senha e de dois fatores.
  • Serviços financeiros - Emboraas regulamentações governamentais exijam a proteção das informações financeiras e pessoais privadas dos clientes, a manutenção da confiança do consumidor impulsiona a necessidade de segurança dos dados. Embora os serviços financeiros tenham sido um dos principais adotantes da autenticação multifatorial, as plataformas de smartphones impulsionaram ainda mais a adoção da verificação de identidade sem senha. 

Verificação de identidade para a força de trabalho

Historicamente, o uso da tecnologia sem senha na segurança da força de trabalho tem sido relegado a aplicativos e usuários especializados. Somente na última década, as quatro barreiras mais significativas para sua adoção foram derrubadas:

  1. Hard tokens, leitores de impressão digital de nível empresarial e outros dispositivos biométricos não são mais muito caros para uso em toda a empresa.
  2. O custo do registro e da configuração do dispositivo, que antes era proibitivo para a adoção em massa - especialmente para funcionários remotos e escritórios pequenos demais para justificar o suporte de TI no local - agora é mais acessível.
  3. A administração remota contínua de dispositivos de autenticação, que antes era impossível, agora está se tornando rotina, com redefinições e reconfigurações remotas tornando-se a norma.
  4. Antes, as equipes de segurança, a gerência e, principalmente, os usuários não tinham confiança nas tecnologias sem senha, mas a recente proliferação de casos de uso gerou uma onda de modernização e planejamento da autenticação.

Além da evolução dos dispositivos, os casos de uso de autenticação e os requisitos relacionados a eles também mudaram, além das exigências governamentais.

Trabalho remoto

Agora, mais do que nunca, os trabalhadores de campo acessam informações privadas usando plataformas móveis. Muito além dos guerreiros das estradas, a adoção do teletrabalho teve um crescimento significativo nos últimos três anos. Embora o trabalho em qualquer lugar estivesse crescendo constantemente antes da pandemia, novas políticas de trabalho remoto ganharam ampla adoção em todos os setores.

Nuvem 

Os dados privados estruturados e não estruturados são cada vez mais armazenados e acessados na nuvem em vez de no data center. Como o uso de data centers que hospedam serviços corporativos e roteiam o tráfego remoto diminuiu drasticamente, as técnicas de segurança de firewall estão se tornando cada vez mais irrelevantes.

Uso de dispositivos pessoais

A crescente adoção do BYOD (bring-your-own-device, traga seu próprio dispositivo) está corroendo ainda mais o controle de segurança. O acesso remoto a recursos hospedados na nuvem a partir do BYOD muda a dependência rudimentar dos dispositivos gerenciados para a segurança baseada em identidade. Essa dependência se traduz em uma maior exposição a ataques de phishing e outros ataques de identidade que contornam a verificação de identidade.

Esse afastamento das redes gerenciadas, dos recursos digitais internos (serviços e dados não estruturados) e dos dispositivos da empresa significa que as equipes de segurança não podem mais depender deles como parte de sua estratégia. Em vez disso, basear a segurança na identidade exige uma estratégia verificada que seja altamente resistente a impostores. E, embora a adoção da autenticação multifatorial continue a crescer, a autenticação sem senha de fator único eleva o nível de segurança em relação ao nome de usuário e à senha, simplificando o processo de autenticação. Os funcionários aproveitam a velocidade e a conveniência do reconhecimento facial, da impressão digital verificada ou de outra experiência passiva. Enquanto isso, a organização obtém maior proteção contra phishing - a vulnerabilidade mais proeminente e a fonte de violações.

Consumidores migrando para a ausência de senha

O principal facilitador sem senha é o smartphone. Com uma grande quantidade de poder de computação em um pacote pequeno, eles se tornaram indispensáveis para muitos de nós, o que os torna um divisor de águas sem senha. Nós os usamos para tudo, desde mensagens de texto até mídias sociais, compras on-line e serviços bancários. Tiramos fotos em um piscar de olhos, procuramos direções ou buscamos respostas.

Essa dependência de dispositivos de computação portáteis levou a uma mudança de paradigma de autenticação como nunca antes vista:

  • A conectividade universal permite a verificação fora de banda da identidade de alguém durante a autenticação.
  • O poder de processamento portátil pode gerar sementes e chaves que funcionam como pinos de uso único.
  • Os métodos de autenticação biométrica e passiva avançarão com o avanço dos smartphones, permitindo que a verificação evolua e se torne mais sofisticada.

Os consumidores estão se tornando mais conscientes das ameaças que a autenticação tradicional representa para eles. As organizações reconhecem essa mudança e veem oportunidades de aprimorar seus serviços digitais.

Quão segura é a autenticação sem senha?

A equipe de violação de dados da Verizon identificou o spear phishing como o método dominante de roubo de credenciais usado pelos criminosos. O spear phishing é iniciado quando o invasor envia um e-mail que parece ser de uma fonte confiável, como um banco, um colega ou alguma outra fonte que envia as vítimas para um site falso. Esse site exige autenticação, enganando as vítimas para que revelem suas credenciais, insiram números de cartão de crédito ou forneçam algum outro conjunto de informações privadas.

Uma variação desse ataque oferece um link que, quando clicado, instala malware nos computadores das vítimas.

A tecnologia sem senha é adequada para a proteção contra esses tipos de ataques. Para plataformas configuradas para eliminar senhas, nenhuma pode ser capturada por meio de entrada ou captura de pressionamento de tecla. Para plataformas que oferecem senhas como uma opção além de sem senha, isso pode ser reforçado com uma autenticação multifatorial sem senha, como algo que o usuário tem - como um smartphone - ou algo que ele é - biométrico.

Essa dependência dos smartphones traz suas vulnerabilidades para a linha de frente da discussão sobre segurança. Se não forem vigiados, os dispositivos móveis podem cair nas mãos de hackers e outros malfeitores, que podem interceptar PINs, OTPs e aprovações push fora de banda, além de reconfigurar a biometria para corresponder a si mesmos. O roubo do cartão SIM também representa um risco de SMS/OTP. Mesmo que os usuários sejam cuidadosos, sua segurança pode ser violada quando os invasores manipulam os provedores de serviços para que cancelem e transfiram informações cruciais de cartões SIM legítimos.

Embora nenhuma organização possa impedir todas as ameaças, é verdade que a simples mudança para um paradigma sem senha protege contra as ameaças mais comuns. Mesmo para a autenticação de fator único, o abandono das credenciais digitadas aumenta a segurança. Ainda é possível fazer mais, por exemplo, elevando os níveis de segurança por meio da autenticação baseada em risco (RBA). O RBA tem um longo histórico comprovado de determinar quando são necessárias etapas adicionais para verificar a identidade de um usuário. As organizações podem invocar uma autenticação de segundo fator em condições predefinidas, como:

  • O dispositivo já foi visto antes?
    • Impressão digital de dispositivos
    • Cookie do navegador
  • O usuário está localizado onde se espera que ele esteja?
    • Serviço de geolocalização de IP
    • Geofencing (GSM)
  • O usuário está se comportando como esperado?
  • Qual é o nível de risco das informações?

Esses critérios ajudam as organizações a determinar quantos níveis de verificação de identidade são necessários. Por exemplo, exigir uma impressão digital para acessar informações. Ainda assim, há um subconjunto mais sensível que exige autenticação multifatorial quando o risco é elevado.

Guia do Comprador sem Senha

Um guia prático para reduzir o risco e o atrito na identidade digital.

Leia o guia do comprador

Como implementar

Como implementar a autenticação sem senha

A implementação do login sem senha envolve mais do que a retirada do uso de senhas - requer a criação cuidadosa de fluxos de usuários, a escolha de autenticadores fortes e o planejamento de caminhos alternativos. Aqui está um roteiro (encontre mais detalhes no Guia do comprador sem senha da OpenText):

1. Definir níveis de garantia e mapeamento de casos de uso. Comece classificando seus recursos por nível de risco (por exemplo informações básicas da conta vs. operações financeiras). Use padrões como o AAL (Authentication Assurance Levels, níveis de garantia de autenticação) do NIST para decidir a intensidade da autenticação para cada cenário. Em seguida, mapeie cada jornada do usuário (login, transação, ação administrativa) para um nível de garantia apropriado.

2. Escolha os métodos de autenticação corretos. Selecione um ou mais métodos sem senha que se alinhem às suas metas de risco, usabilidade e custo. O ideal é escolher padrões interoperáveis (por exemplo FIDO2) para que você permaneça independente de fornecedor e de plataforma cruzada. As opções incluem:

  • Chaves de segurança de hardware/FIDO2/WebAuthn
  • Aplicativos móveis com push fora de banda ou TOTP
  • Verificação biométrica (impressão digital, face, voz)
  • Fatores contextuais/passivos (postura do dispositivo, geolocalização, Bluetooth)

3. Projetar um fluxo de registro seguro. A vinculação entre um usuário e seu autenticador é fundamental. Verificar a identidade (por exemplo, por meio de credenciais existentes, comprovação de identidade ou verificações pessoais) e, em seguida, registrar criptograficamente o autenticador. Ofereça suporte a vários autenticadores por conta (para que os usuários tenham backups) e permita que eles desativem ou alterem os métodos.

4. Implementar fluxos de autenticação. Para cada interação (login, transação, renovação de sessão):

  • Desafie o autenticador registrado do usuário.
  • Use trocas criptograficamente seguras (por exemplo, WebAuthn, CTAP).
  • Inclua sinais de fraude/risco (impressão digital do dispositivo, localização, comportamento) para adaptar a força necessária.
  • Não abrir ou escalar somente quando necessário (não bloquear o acesso de baixo risco).

5. Fornecer caminhos de fallback/recuperação. Nenhum sistema é perfeito. Os usuários podem perder o telefone ou a chave. Fornecer opções de recuperação seguras e de alta garantia (por exemplo (que suportam verificação de identidade, autenticadores alternativos ou fallback de desafio-resposta) para restaurar o acesso sem enfraquecer a segurança.

6. Monitorar, iterar e implementar as fases. Comece com grupos-piloto limitados ou caminhos não críticos. Monitore o feedback dos usuários, as taxas de desistência, os tíquetes de suporte e os eventos de segurança. Use esses dados para refinar seus fluxos, calibrar os limites de risco e expandir a cobertura. Certifique-se de que o registro e os rastros forenses estejam em vigor para detectar anomalias.

Perguntas frequentes

O que significa "autenticação sem senha"?

A autenticação sem senha significa que os usuários podem fazer login sem memorizar ou digitar senhas. Em vez disso, a autenticação se baseia em credenciais criptográficas vinculadas a um dispositivo (ou biométrico/PIN) para comprovar a identidade.

Qual é a diferença entre a autenticação sem senha e a autenticação multifator (MFA)?

Em geral, a MFA faz verificações adicionais além da senha. A autenticação sem senha evita completamente as senhas, confiando apenas em fatores mais fortes (dispositivo, biometria ou posse) e, opcionalmente, misturando fatores adicionais.

Quais tecnologias ou métodos permitem o login sem senha?

As abordagens comuns sem senha incluem:

  • Chaves de segurança de hardware/FIDO2/WebAuthn
  • Verificações biométricas (impressão digital, face) ou PIN do dispositivo
  • Notificações push ou aplicativos móveis
  • Links mágicos ou códigos únicos (se projetados de forma segura)

A ausência de senha é mais segura do que as senhas?

Em muitos casos, sim, a ausência de senha é mais segura do que as senhas, especialmente quando implementada corretamente. Como não há senha para roubar, ele é resistente à reutilização de credenciais, à força bruta e a muitos ataques de phishing.

O que acontece se um usuário perder seu dispositivo?

Você deve criar opções de fallback ou recuperação - por exemplo, autenticadores alternativos, etapas de verificação de identidade ou métodos de recuperação pré-registrados - para que os usuários possam recuperar o acesso sem enfraquecer a segurança.

É difícil adotar o sistema sem senha ou é caro?

Pode haver custos iniciais para a ausência de senhas (infraestrutura, integração de usuários, provisionamento de dispositivos), mas eles geralmente são compensados por reduções na redefinição de senhas, na carga do helpdesk e no risco de segurança.

Os usuários acharão fácil usar o sistema sem senha?

Em geral, sim. Muitos usuários consideram os métodos biométricos ou baseados em push mais fáceis e rápidos do que as senhas. No entanto, a educação do usuário e os fluxos suaves são essenciais para reduzir o atrito.

Produtos relacionados

OpenText™ Advanced Authentication (NetIQ)

Ativar autenticação sem senha e multifator

OpenText™ Access Manager (NetIQ)

Forneça autenticação única e controle de acesso em todas as suas plataformas

OpenText™ Privileged Access Manager (NetIQ)

Garanta e controle o acesso privilegiado para proteger ativos críticos

Gerenciamento de identidade e acesso

Proteja seus ativos digitais gerenciando identidades e acessos com confiança

Ver todos os produtos

Como podemos ajudar?