Este tópico descreve como configurar e usar a autenticação WebAuthn no IDaaS EIAM para oferecer uma experiência de login sem senha mais segura e prática. O conteúdo aborda os principais benefícios e as etapas de configuração para ajudar os administradores a integrar rapidamente o WebAuthn à infraestrutura de identidade de suas organizações.
Visão geral
O WebAuthn é um componente central do padrão FIDO2. Ele proporciona uma experiência de login sem senha de alto nível, respaldada por hardware, para sites web. Esse mecanismo utiliza os recursos nativos de criptografia e biometria do seu PC para autenticar usuários em sites.
É possível utilizar dois tipos de autenticadores:
Autenticadores multiplataforma são chaves de segurança externas, como a YubiKey, compatíveis com diversos dispositivos.
Autenticadores de plataforma correspondem aos recursos de autenticação integrados ao próprio dispositivo, como Mac Touch ID ou Windows Hello.
Para mais informações, consulte o Guia WebAuthn (link externo). A maioria dos navegadores modernos oferece suporte ao WebAuthn. Verifique a compatibilidade do seu navegador aqui (link externo).
Demonstração de login
Faça login com segurança usando apenas seu nome de usuário, sem necessidade de senha. Veja abaixo como funciona:
Após o login, você é redirecionado à página My Applications do portal de aplicativos do IDaaS. Essa página exibe os aplicativos SSO atribuídos a você, como mO-Jira e Alibaba Cloud - SASE. Clique no cartão de um aplicativo para realizar o single sign-on nesse aplicativo. Caso um aplicativo exiba Application account not configured, configure primeiro a conta do aplicativo.
Registro de autenticador
Os usuários precisam registrar um autenticador em suas contas antes de utilizá-lo para fazer login.
Todo usuário que desejar usar o WebAuthn para login deve acessar primeiro a página My Account. Acesse Security Information > WebAuthn authenticator, clique em Manage e registre um novo autenticador no painel de gerenciamento.
O processo de registro leva cerca de um minuto. Após clicar em Register Authenticator, siga as instruções exibidas na tela pelo navegador para concluir a configuração.
Depois do registro, os usuários podem utilizar qualquer autenticador habilitado para fazer login. Também é possível gerenciar os autenticadores registrados.
No momento, os administradores não podem gerenciar os autenticadores dos usuários. Cada usuário deve concluir individualmente o processo de registro e gerenciamento.
Cenários de login
Cenário 1: login sem senha
Uma aplicação comum e prática do WebAuthn é a substituição do login baseado em senhas.
Os usuários acessam a página de login do IDaaS, inserem o nome de usuário e escolhem um método WebAuthn para verificar sua identidade. Após a verificação bem-sucedida, eles fazem login no aplicativo. Esse fluxo funciona para todos os aplicativos web. O processo está ilustrado abaixo:
Os administradores do IDaaS encontram a opção WebAuthn na aba General do menu Login. Essa opção vem desativada por padrão. Ative-a para utilizar esse recurso.
Quando ativada, a opção de login WebAuthn passa a aparecer na página de login. Os usuários podem selecionar essa opção para entrar, tendo o Mac Touch ID como exemplo.
O IDaaS recupera as informações dos autenticadores registrados para a conta especificada. Se não houver nenhum autenticador registrado na conta, o IDaaS exibirá um erro e o usuário não poderá prosseguir.
Cenário 2: MFA
O WebAuthn também pode ser utilizado como um fator de alta segurança para MFA.
Os usuários inserem normalmente o nome de usuário e a senha. Se o MFA estiver ativado, eles entram no fluxo de MFA, onde podem optar por usar um autenticador WebAuthn para um login seguro. O processo está ilustrado abaixo:
Os administradores do IDaaS podem acessar a aba 2nd Authentication no menu Login. Selecione a caixa de seleção WebAuthn e clique em Save. Certifique-se de que o MFA esteja ativado.
Uma vez ativado, os usuários são direcionados à página de MFA após o login. Se um usuário tiver registrado um autenticador WebAuthn, poderá selecioná-lo para uma verificação de identidade rápida e segura.
A página de MFA oferece quatro métodos de verificação: SMS verification code, email verification code, app-based dynamic password e WebAuthn authenticator. Ao clicar em Select WebAuthn authenticator, o navegador exibe uma caixa de diálogo de verificação de identidade, na qual você pode concluir o MFA usando o Touch ID ou inserindo sua senha.