This is the Trace Id: 3d29b8a17b8ae2cf6fe6a7a8115a4228
Avançar para o conteúdo principal Porquê o Microsoft Security Cibersegurança com tecnologia de IA Segurança da cloud Segurança e governação de dados Identidade e acesso à rede Gestão de privacidade e risco Segurança para IA SecOps Unificadas Confiança Zero Microsoft Defender Microsoft Entra Microsoft Intune Microsoft Priva Microsoft Purview Microsoft Sentinel Microsoft Security Copilot ID Microsoft Entra (Azure Active Directory) ID do Agente Microsoft Entra ID Externo Microsoft Entra Microsoft Entra ID Governance Microsoft Entra ID Protection Acesso à Internet do Microsoft Entra Acesso Privado do Microsoft Entra Gestão de Permissões do Microsoft Entra ID Verificada do Microsoft Entra ID de Carga de Trabalho Microsoft Entra Microsoft Entra Domain Services Azure Key Vault Microsoft Sentinel Microsoft Defender for Cloud Microsoft Defender XDR Microsoft Defender para Ponto Final Microsoft Defender para Office 365 Microsoft Defender para Identidade Microsoft Defender for Cloud Apps Gestão de Exposição do Microsoft Security Gestão de Vulnerabilidades do Microsoft Defender Informações sobre Ameaças do Microsoft Defender Microsoft Defender Suite para o Empresas Premium Microsoft Defender para a Cloud Gestão da Postura de Segurança da Cloud do Microsoft Defender Gestão da superfície de ataques externos do Microsoft Defender Azure Firewall Firewall da Aplicação Web do Azure Azure DDoS Protection Segurança Avançada do GitHub Microsoft Defender para Ponto Final Microsoft Defender XDR Microsoft Defender para Empresas Principais funcionalidades do Microsoft Intune Microsoft Defender para IoT Gestão de Vulnerabilidades do Microsoft Defender Análise avançada do Microsoft Intune Gestão de Privilégios de Pontos Finais do Microsoft Intune Gestão de aplicações do Microsoft Intune para empresas Ajuda Remota do Microsoft Intune PKI na nuvem da Microsoft Conformidade de comunicações do Microsoft Purview Gestor de Conformidade do Microsoft Purview Gestão do Ciclo de Vida dos Dados do Microsoft Purview Deteção de Dados Eletrónicos do Microsoft Purview Auditoria do Microsoft Purview Gestão de Risco do Microsoft Priva Pedidos de Titulares de Dados Microsoft Priva Gestão de Dados do Microsoft Purview Microsoft Purview Suite para o Empresas Premium Capacidades de segurança de dados do Microsoft Purview Preços Serviços Parceiros Sensibilização para a cibersegurança Histórias de clientes Noções Básicas de Segurança Avaliações de produtos Reconhecimento da indústria Microsoft Security Insider Relatório de Defesa Digital da Microsoft Centro de Resposta de Segurança Blogue do Microsoft Security Eventos do Microsoft Security Microsoft Tech Community Documentação Biblioteca de Conteúdos Técnicos Formação e certificados Programa de Conformidade para a Microsoft Cloud Centro de Confiança da Microsoft Portal de Confiança do Serviço Microsoft Iniciativa Futuro Seguro Centro de Soluções Empresariais Contactar o Departamento de Vendas Iniciar avaliação gratuita Microsoft Security Azure Dynamics 365 Microsoft 365 Microsoft Teams Windows 365 Microsoft AI Azure Space Realidade mista Microsoft HoloLens Microsoft Viva Computação quântica Sustentabilidade Ensino Automóvel Serviços financeiros Administração Pública Cuidados de Saúde Indústria Comércio Localizar um parceiro Torne-se um parceiro Rede de Parceiros Microsoft Marketplace Marketplace Rewards Empresas de desenvolvimento de software Blogue Microsoft Advertising Centro de Programadores Documentação Eventos Licenciamento Microsoft Learn Microsoft Research Ver mapa do site
Dois profissionais juntos num corredor de escritório, segurando um tablet e a discutir trabalho.

O que é a autenticação?

Saiba como as identidades de pessoas, aplicações e serviços são verificadas antes de lhes ser concedido acesso a sistemas e recursos digitais.
Explorar o Microsoft Entra ID

Definição de autenticação

A autenticação é o processo que as empresas utilizam para confirmar que apenas as pessoas, serviços e aplicações adequadas, com as devidas permissões, podem obter recursos organizacionais. Trata-se de uma parte importante da cibersegurança, visto que a principal prioridade de um agente malicioso é obter acesso não autorizado aos sistemas. Para isso, roubam o nome de utilizador e as palavras-passe dos utilizadores autorizados. O processo de autenticação inclui três passos fundamentais:
 

  • Identificação: os utilizadores identificam-se geralmente através de um nome de utilizador.
  • Autenticação: geralmente, os utilizadores comprovam a respetiva identidade ao introduzir uma palavra-passe (algo que apenas o utilizador é suposto saber), mas, para reforçar a segurança, há várias organizações que também exigem que os utilizadores comprovem a sua identidade através de algo que possuem (um telemóvel ou dispositivo token) ou algo único em cada indivíduo (impressão digital ou reconhecimento facial).
  • Autorização: o sistema verifica se os utilizadores têm permissão para entrar no sistema a que estão a tentar aceder.

Por que motivo é que a autenticação é importante?

A autenticação é importante porque ajuda as organizações a proteger os respetivos sistemas, dados, redes, sites e aplicações contra ataques. Além disso, ajuda as pessoas a manter a confidencialidade dos respetivos dados pessoais, o que lhes permite fazer negócios online, como operações bancárias ou investimentos, com menos riscos. Quando os processos de autenticação são fracos, é mais fácil para um atacante comprometer uma conta, quer ao adivinhar palavras-passe individuais, quer ao levar as pessoas a dizer as respetivas credenciais. Esta situação pode acarretar os seguintes riscos:
 

  • Falha de segurança de dados ou transferência de dados não autorizada.
  • Instalação de malware, como ransomware.
  • Não conformidade com os regulamentos de privacidade de dados regionais ou da indústria.

Como funciona a autenticação

No caso das pessoas, a autenticação consiste em criar um nome de utilizador, uma palavra-passe e outros métodos de autenticação, como um reconhecimento facial, uma impressão digital ou um PIN. Para proteger as identidades, nenhum destes métodos de autenticação é guardado na base de dados do serviço. As palavras-passe são colocadas em hash (não encriptadas) e os hashes são guardados na base de dados. Quando um utilizador introduz uma palavra-passe, esta também é colocada num hash e, posteriormente, os hashes são comparados. O acesso é concedido se os dois hashes corresponderem. No caso das impressões digitais e dos reconhecimentos faciais, as informações são codificadas, encriptadas e guardadas no dispositivo.

Tipos de métodos de autenticação

O processo de autenticação moderno é delegado a um sistema de identidade separado e fidedigno, em contraste com a autenticação tradicional em que cada sistema verifica a sua própria identificação. Além disso, registou-se uma mudança no tipo de métodos de autenticação utilizados. A maioria das aplicações requer um nome de utilizador e uma palavra-passe, mas à medida que os agentes maliciosos se tornaram mais hábeis a roubar palavras-passe, a comunidade de segurança desenvolveu vários métodos novos para ajudar a proteger as identidades.

Autenticação baseada em palavras-passe

A autenticação baseada em palavras-passe é o método de autenticação mais comum. Muitas aplicações e serviços exigem que as pessoas criem palavras-passe que utilizem uma combinação de números, letras e símbolos para reduzir o risco de um agente malicioso as adivinhar. No entanto, as palavras-passe também criam desafios em termos de segurança e facilidade de utilização. Torna-se difícil para as pessoas criar e memorizar uma palavra-passe única para cada uma das respetivas contas online, pelo que é comum reutilizarem as palavras-passe. Além disso, os atacantes utilizam várias táticas para adivinhar ou roubar palavras-passe ou para induzir as pessoas a partilhá-las de forma involuntária. Por este motivo, as organizações têm vindo a substituir as palavras-passe por outras formas de autenticação mais seguras.

Autenticação baseada em certificados

A autenticação baseada em certificados é um método encriptado que permite aos dispositivos e às pessoas identificarem-se perante outros dispositivos e sistemas. São exemplos deste tipo de autenticação os smart cards ou quando o dispositivo de um colaborador envia um certificado digital para uma rede ou servidor.

Autenticação biométrica

Na autenticação biométrica, as pessoas comprovam a respetiva identidade através de traços biológicos. Por exemplo, muitas pessoas utilizam o dedo ou o polegar para iniciar sessão nos telemóveis, ao passo que alguns computadores analisam o rosto ou a retina de uma pessoa para comprovar a respetiva identidade. Os dados biométricos estão também ligados a um dispositivo específico, pelo que os atacantes não os podem utilizar sem obterem também acesso ao dispositivo. Este tipo de autenticação é cada vez mais popular porque é fácil para as pessoas (não têm de memorizar nada) e não é fácil para os agentes maliciosos roubarem os dados, o que o torna mais seguro do que as palavras-passe.

Autenticação baseada em tokens

Na autenticação baseada em tokens, tanto um dispositivo como o sistema geram um novo número único denominado PIN monouso por tempo limitado (TOTP) de 30 em 30 segundos. Se os números corresponderem, o sistema confirma que o utilizador é detentor do dispositivo.

Palavra-passe monouso

As palavras-passe monouso (OTP) são códigos gerados para um determinado evento de início de sessão que expiram pouco tempo depois de serem emitidos. São enviados por SMS, e-mail ou um token de hardware.

Notificações push

Existem aplicações e serviços que utilizam notificações push para autenticar os utilizadores. Nestes casos, as pessoas recebem uma mensagem no telemóvel a pedir-lhes que aceitem ou recusem o pedido de acesso. Dado que, por vezes, as pessoas aceitam notificações push acidentalmente, ainda que estejam a tentar iniciar sessão nos serviços que enviaram a notificação, este método é por vezes combinado com um método OTP. Com esse método, o sistema gera um número único que o utilizador tem de introduzir. Desta forma, a autenticação é mais resistente ao phishing.

Autenticação por voz

No caso da autenticação por voz, a pessoa que tenta aceder a um serviço recebe uma chamada telefónica, na qual lhe é pedido que introduza um código ou que se identifique verbalmente.

Autenticação multifator

Uma das melhores formas de reduzir o comprometimento de contas é exigir dois ou mais métodos de autenticação, que podem incluir qualquer um dos métodos indicados anteriormente. Uma prática recomendada eficaz é exigir dois dos seguintes métodos:
 
  • Algo que o utilizador conhece, geralmente uma palavra-passe.
  • Algo que o utilizador possui, como um dispositivo fidedigno que não seja facilmente duplicado, como um telemóvel ou um token de hardware.
  • Algo único em cada indivíduo, como uma impressão digital ou reconhecimento facial.
Por exemplo, há muitas organizações que pedem uma palavra-passe (algo que o utilizador sabe) e também enviam uma OTP por SMS para um dispositivo fidedigno (algo que o utilizador tem) antes de conceder o acesso.

Autenticação de dois fatores

A autenticação de dois fatores é um tipo de autenticação multifator que requer duas formas de autenticação.

Autenticação vs. autorização

Embora a autenticação (por vezes designada como AuthN) e a autorização (por vezes designada como AuthZ) sejam frequentemente utilizadas de forma intercambiável, são duas coisas relacionadas, mas distintas. Enquanto a autenticação confirma que o utilizador que inicia sessão é quem diz ser, a autorização confirma que o utilizador tem as permissões certas para aceder às informações pretendidas. Por exemplo, alguém nos recursos humanos pode ter acesso a sistemas confidenciais, como folhas de pagamento ou ficheiros de colaboradores, que as outras pessoas não podem ver. Tanto a autenticação como a autorização são essenciais para permitir a produtividade e proteger dados confidenciais, propriedade intelectual e privacidade.
 

Práticas recomendadas em termos de segurança de autenticação

Dado que o comprometimento de contas é uma forma tão comum de os atacantes obterem acesso não autorizado aos recursos de uma empresa, é importante implementar uma segurança de autenticação forte. Seguem-se algumas sugestões que pode experimentar para proteger a sua organização:

Implemente a autenticação multifator

O passo mais importante que pode dar para reduzir o risco de comprometimento da conta é ativar a autenticação multifator e exigir, pelo menos, dois fatores de autenticação. É muito mais difícil para os atacantes roubarem mais do que um método de autenticação, sobretudo se um deles for biométrico ou algo que o utilizador tenha na sua posse, como um dispositivo. Para simplificar ao máximo a tarefa dos colaboradores, clientes e parceiros, dê-lhes a opção de escolher entre vários fatores diferentes. No entanto, é importante notar que nem todos os métodos de autenticação são idênticos. Há uns mais seguros do que outros. Por exemplo, embora receber um SMS seja melhor do que nada, uma notificação push é mais segura.

Adote a autenticação sem palavra-passe

Depois de configurar a autenticação multifator, pode até optar por limitar a utilização de palavras-passe e incentivar as pessoas a utilizarem dois ou mais métodos de autenticação, como um PIN e dados biométricos. A redução da utilização de palavras-passe e a adoção de uma autenticação sem palavras-passe irá simplificar o processo de início de sessão e reduzir o risco de comprometimento da conta.

Aplique a proteção por palavra-passe

Para além da formação dos colaboradores, existem ferramentas que pode utilizar para reduzir a utilização de palavras-passe fáceis de adivinhar. As soluções de proteção por palavra-passe permitem-lhe proibir as mais utilizadas, como Palavra-passe1. Além disso, pode criar uma lista personalizada que seja específica da sua empresa ou região, como os nomes de equipas desportivas locais ou pontos de referência.

Ative a autenticação multifator baseada em riscos

Existem alguns eventos de autenticação que são indicadores de comprometimento, por exemplo, quando um colaborador tenta aceder à sua rede a partir de um novo dispositivo ou de uma localização estranha. Outros eventos de início de sessão podem não ser atípicos, mas são de maior risco, como, por exemplo, quando um profissional de recursos humanos precisa de aceder a informações pessoais de um colaborador. Para reduzir o risco, configure a sua solução de gestão de identidades e acessos (IAM) para exigir, pelo menos, dois fatores de autenticação quando detetar estes tipos de eventos.

Dê prioridade à facilidade de utilização

Uma segurança eficaz implica o apoio dos colaboradores e de outros intervenientes. Em certos casos, as políticas de segurança podem impedir as pessoas de realizarem atividades online perigosas, mas se as políticas forem demasiado rígidas, as pessoas irão encontrar uma solução alternativa. As melhores soluções adaptam-se a comportamentos humanos realistas. Implemente funcionalidades como a reposição personalizada de palavra-passe para que as pessoas não tenham de ligar para a assistência técnica quando se esquecem de uma palavra-passe. Isto também pode incentivá-las a escolher uma palavra-passe forte, uma vez que sabem que será fácil redefini-la caso se esqueçam mais tarde. A possibilidade de as pessoas escolherem o método de autorização que preferem é outra excelente forma de lhes simplificar o início de sessão.

Implemente o início de sessão único

Uma excelente funcionalidade que melhora a facilidade de utilização e a segurança é o início de sessão único (SSO). Ninguém gosta que lhe seja pedida uma palavra-passe sempre que muda de aplicação, sendo que isto pode incentivar a utilização da mesma palavra-passe em várias contas para poupar tempo. Com o início de sessão único, os colaboradores só precisam de iniciar sessão uma vez para aceder à maioria ou a todas as aplicações de que necessitam para trabalhar. Isto reduz os obstáculos e permite-lhe aplicar políticas de segurança universais ou condicionais, como a autenticação multifator, a todo o software que os colaboradores utilizam.

Aplique o princípio de menor privilégio

Limite o número de contas privilegiadas com base nas funções e conceda às pessoas o mínimo de privilégios necessários para desempenharem o respetivo trabalho. Definir o controlo de acesso ajuda a garantir que menos pessoas possam aceder aos seus dados e sistemas mais importantes. Quando alguém precisar de executar uma tarefa confidencial, utilize a gestão de acesso privilegiado, como a ativação do acesso just-in-time com durações de tempo, para reduzir ainda mais o risco. Além disso, é útil exigir que as atividades administrativas sejam realizadas apenas em dispositivos muito seguros, à parte dos computadores que as pessoas utilizam para as tarefas diárias.

Presuma que as falhas de segurança podem acontecer e realize auditorias regulares

Em muitas organizações, as funções e o estatuto profissional das pessoas variam frequentemente. Os colaboradores saem da empresa ou mudam de departamento. Os parceiros entram e saem de projetos. Isto pode ser um problema quando as regras de acesso não acompanham o ritmo. É importante garantir que as pessoas não mantêm o acesso a sistemas e ficheiros de que já não necessitam para o respetivo trabalho. Para reduzir o risco de um atacante obter informações confidenciais, utilize uma solução de gestão de identidades para lhe ajudar a auditar consistentemente as suas contas e funções. Estas ferramentas também permitem garantir que as pessoas só têm acesso ao que necessitam e que as contas de pessoas que saíram da organização já não estão ativas.

Proteja as identidades contra ameaças

As soluções de gestão de identidades e acessos disponibilizam muitas ferramentas que ajudam a reduzir o risco de comprometimento de contas, no entanto, continua a ser inteligente antecipar uma falha de segurança de dados. Até mesmo os colaboradores mais instruídos caem por vezes em esquemas de phishing. Para detetar atempadamente o comprometimento de contas, invista em soluções de proteção de identidades contra ameaças e implemente políticas que permitam detetar e dar resposta a atividades suspeitas. Muitas soluções modernas, como o Microsoft Security Copilot, utilizam IA não só para detetar ameaças, mas também para responder automaticamente às mesmas.

Soluções de autenticação na nuvem

A autenticação é fundamental tanto para ter um programa de cibersegurança forte como para permitir a produtividade dos colaboradores. O Microsoft Entra, uma solução abrangente de gestão de identidades e acessos baseada na nuvem, apresenta ferramentas para ajudar as pessoas a obterem facilmente o que precisam para fazer o respetivo trabalho, ao mesmo tempo que implementa controlos avançados que reduzem o risco de os atacantes comprometerem uma conta e obterem acesso a dados confidenciais.
Uma mulher está a olhar para o computador.

Microsoft Entra ID

Proteja a sua organização com a gestão de identidades e acessos.
Saber mais
Três colegas a olhar para um portátil juntos

Microsoft Entra ID Governance

Certifique-se automaticamente de que as pessoas certas têm o acesso certo às aplicações certas, na altura certa.
Saber mais
Duas jovens mulheres num escritório iluminado pelo sol: uma com óculos trabalha num portátil; a outra, com um casaco de ganga, sorri para o seu telemóvel.

ID Verificada do Microsoft Entra

Descentralize as suas identidades com um serviço gerido de credenciais verificáveis baseado em normas abertas.
Saber mais
Colegas a rever trabalho em monitores

ID de carga de trabalho Microsoft Entra

Faça a gestão e proteja as identidades concedidas a aplicações e serviços.
Saber mais
Voltar à secção Produtos relacionados
FAQ

Perguntas frequentes

  • Existem muitos tipos diferentes de autenticação. Seguem-se alguns exemplos:
    • Há muitas pessoas que iniciam sessão nos respetivos telemóveis através do reconhecimento facial ou da impressão digital. 
    • Os bancos e outros serviços exigem frequentemente que as pessoas iniciem sessão através de uma palavra-passe e de um código que é enviado automaticamente por SMS. 
    • Algumas contas requerem apenas um nome de utilizador e uma palavra-passe, embora muitas organizações estejam a adotar a autenticação multifator para reforçar a segurança.
    • Os colaboradores costumam iniciar sessão no respetivo computador e obter acesso a várias aplicações diferentes ao mesmo tempo, o que é conhecido como início de sessão único.
    • Além disso, existem contas que permitem aos utilizadores iniciar sessão com uma conta do Facebook ou do Google. Neste caso, o Facebook, o Google ou a Microsoft são responsáveis por autenticar o utilizador e passar a autorização para o serviço a que o utilizador quer aceder.
  • A autenticação na cloud é um serviço que confirma que apenas as pessoas e aplicações certas com as permissões certas podem obter acesso a redes e recursos na cloud. Existem muitas aplicações na nuvem com autenticação incorporada baseada na nuvem, mas também existem soluções mais abrangentes, como o Microsoft Entra ID, que foram pensadas para lidar com a autenticação em várias aplicações e serviços na nuvem. Estas soluções normalmente usam o protocolo SAML para permitir que um serviço de autenticação funcione em várias contas.
  • Embora a autenticação e a autorização sejam frequentemente utilizadas de forma intercambiável, são duas coisas relacionadas, mas distintas. Enquanto a autenticação confirma que o utilizador que inicia sessão é quem diz ser, a autorização confirma que o utilizador tem as permissões certas para aceder às informações pretendidas. Utilizadas em conjunto, a autenticação e a autorização ajudam a reduzir o risco de um atacante obter acesso a dados confidenciais.
  • A autenticação é utilizada para verificar se as pessoas e entidades são quem dizem ser antes de lhes conceder acesso a recursos e redes digitais. Embora o objetivo principal seja a segurança, as soluções de autenticação modernas também foram concebidas para melhorar a facilidade de utilização. Por exemplo, muitas organizações implementam soluções de início de sessão único para que os colaboradores possam encontrar facilmente o que precisam para desempenhar as suas funções. Os serviços ao consumidor permitem frequentemente que as pessoas iniciem sessão com as respetivas contas do Facebook, Google ou Microsoft para agilizar o processo de autenticação.

Siga o Microsoft Security

Surface Pro Surface Laptop Surface Laptop Studio 2 Copilot para organizações Copilot para uso pessoal Microsoft 365 Explorar produtos Microsoft Aplicações do Windows 11 Perfil da conta Centro de Transferências Suporte da Microsoft Store Devoluções Controlo de encomendas Reciclagem Garantias Comercias Microsoft Educação Dispositivos para educação Microsoft Teams para Educação Microsoft 365 Educação Office Educação Formação e desenvolvimento de educadores Promoções para estudantes e pais Azure para estudantes
Microsoft AI Microsoft Security Azure Dynamics 365 Microsoft 365 Microsoft 365 Copilot Microsoft Teams Pequena Empresa Programador Microsoft Microsoft Learn Suporte para aplicações do marketplace de IA Microsoft Tech Community Microsoft Marketplace Microsoft Power Platform Marketplace Rewards Visual Studio Carreiras Acerca da Microsoft Notícias da empresa Privacidade na Microsoft Investidores Sustentabilidade
Português (Portugal) Privacidade da Saúde do Consumidor Contactar a Microsoft Privacidade Gerir cookies Termos de utilização Marcas Registadas Acerca dos nossos anúncios EU Compliance DoCs