Senhas e códigos de acesso único (OTPs) são vulneráveis a ataques de phishing, pois dependem de informações transmitidas pela rede que invasores podem interceptar ou roubar. O WebAuthn elimina esse risco ao autenticar usuários localmente em seus dispositivos, usando dados biométricos ou uma chave de segurança de hardware. Nenhuma credencial é enviada pela rede.
O IDaaS EIAM (Enterprise Identity Access Management) oferece suporte ao WebAuthn para dois cenários: login sem senha e autenticação multifator (MFA).
Como funciona
O WebAuthn faz parte do padrão FIDO2 (Fast Identity Online 2). Quando um usuário faz login, o autenticador em seu dispositivo gera uma assinatura criptográfica usando uma chave privada armazenada localmente. O IDaaS EIAM verifica essa assinatura com a chave pública correspondente, sem transmitir nenhuma senha.
Dois tipos de autenticadores têm suporte:
Autenticador multiplataforma (também conhecido como autenticador móvel): dispositivo externo compatível com vários computadores, como a chave de segurança de hardware YubiKey.
Autenticador de plataforma: autenticador integrado ao dispositivo ou navegador, como o Touch ID do macOS ou o Windows Hello.
Quase todos os navegadores modernos oferecem suporte ao WebAuthn. Para detalhes sobre compatibilidade de versões de navegadores, consulte Duo Passwordless.
Exemplo de login
Os usuários podem fazer login inserindo apenas o nome de usuário, sem necessidade de senha. O vídeo a seguir demonstra como registrar as informações do dispositivo para WebAuthn.
Registrar um autenticador
Antes de usar o WebAuthn para login, cada usuário deve registrar um autenticador em sua conta. O registro leva cerca de 1 minuto.
Administradores não podem registrar nem gerenciar autenticadores em nome dos usuários. Cada usuário registra e gerencia seus próprios autenticadores de forma independente.
Para registrar um autenticador:
Faça login no IDaaS EIAM e acesse a página My Account.
Na seção Security Information, localize WebAuthn Authenticator e clique em Manage.
No painel Manage WebAuthn Authenticator, clique em Register New Authenticator.
Siga as instruções na tela para concluir o registro.
Após o registro, o autenticador fica ativo e pronto para uso no login.
Cenários de login
Cenário 1: Login sem senha
Os usuários inserem apenas o nome de usuário, sem necessidade de senha. Em seguida, o IDaaS EIAM solicita a autenticação via WebAuthn. Esse método é compatível com todas as aplicações web.
Ativar login sem senha:
No console do IDaaS EIAM, acesse a página Sign-In e selecione a aba General.
Na seção Authentication Methods, localize o método de autenticador WebAuthn. Ele vem desativado por padrão.
Ative o método e salve as alterações.
Após a ativação, a opção de login com WebAuthn aparece na página de login. O exemplo a seguir mostra o uso do Touch ID do macOS para login sem senha.
Se um usuário não tiver registrado um autenticador, o login falhará com um erro. Oriente o usuário a registrar um autenticador antes de tentar novamente.
Cenário 2: Autenticação multifator (MFA)
Os usuários inserem nome de usuário e senha normalmente e depois verificam sua identidade com o WebAuthn como segundo fator. Essa abordagem combina autenticação baseada em senha com validação por hardware, proporcionando maior segurança.
Ativar o WebAuthn como método de MFA:
No console do IDaaS EIAM, acesse a página Sign-In e selecione a aba Authentication Configuration.
Clique na aba Two-Factor Authentication.
Ative Two-factor Authentication, selecione WebAuthn e clique em Save.
Após salvar, o sistema solicitará que os usuários concluam a autenticação WebAuthn depois de inserirem nome de usuário e senha. O exemplo a seguir ilustra o uso do Touch ID do macOS para MFA.
Tópicos relacionados
Para mais informações sobre o WebAuthn, consulte WebAuthn.
Para detalhes sobre compatibilidade de navegadores, consulte Duo Passwordless.