O domínio 1 do SC-900 (10–15%) pesa pouco e é fácil passar por ele correndo, mas o conteúdo oficial lista como itens separados "criptografia e hash", "provedores de identidade", "serviços de diretório e Active Directory" e "federação". As questões aparecem em formatos que só se resolvem com definições exatas, como "Qual transformação não pode ser revertida?" ou "O que emite um token para o usuário que entrou com sucesso?".
Este artigo reúne esses quatro conceitos em um só lugar. Passamos pela criptografia simétrica e assimétrica e pelas assinaturas digitais, pela criptografia conforme o estado dos dados e pelo gerenciamento de chaves, pelo hash e pelo salt, pelos tokens e protocolos usados por um provedor de identidade, pela diferença entre Active Directory Domain Services e Microsoft Entra ID e pelas relações de confiança da federação.
---
Criptografia: Legível de Novo Só com a Chave
Uma caixa trancada com cadeado não serve de nada para um ladrão sem a chave. A criptografia transforma os dados em uma forma que pessoas não autorizadas não conseguem ler nem usar, e para lê-los de novo é preciso descriptografá-los com uma chave secreta. Mesmo que um atacante intercepte dados criptografados, eles não valem nada sem a chave.
Criptografia Simétrica vs Assimétrica
| Aspecto | Criptografia simétrica | Criptografia assimétrica | |------|------|------| | Chaves | Uma única chave para criptografar e descriptografar | Um par: chave pública e chave privada | | Velocidade | Rápida; adequada para grandes volumes de dados | Relativamente lenta | | Ponto fraco ou forte | É difícil entregar a mesma chave à outra parte com segurança | A chave pública pode ser compartilhada à vontade, o que resolve a distribuição de chaves | | Uso típico | Arquivos em disco, registros de banco de dados | HTTPS, criptografia de e-mail, assinaturas digitais |
Na criptografia assimétrica, dados criptografados com a chave pública só podem ser descriptografados com a chave privada correspondente. Qualquer pessoa pode trancar dados com a sua chave pública e enviá-los a você, mas só você, que tem a chave privada, consegue abri-los. A chave privada não pode ser deduzida da pública.
Assinaturas Digitais
Usar as chaves assimétricas no sentido inverso gera uma assinatura digital. Quando o remetente assina com a chave privada, qualquer pessoa com a chave pública pode confirmar duas coisas.
Que os dados vieram mesmo daquele remetente (autenticidade) Que o conteúdo não mudou depois de assinado (integridade)
Assinaturas digitais servem para verificar downloads de software, autenticar e-mails e proteger documentos e transações eletrônicas.
Criptografia Conforme o Estado dos Dados
| Estado | Significado | Como é protegido | |------|------|------| | Em repouso | Dados gravados em discos, bancos de dados ou contas de armazenamento | Criptografados para que uma mídia roubada não possa ser lida sem a chave | | Em trânsito | Dados que trafegam pela internet, entre serviços ou por redes privadas | HTTPS com TLS, conexões VPN | | Em uso | Dados carregados na memória e processados pela CPU | Ambientes de execução protegidos (enclaves seguros) da computação confidencial |
Gerenciamento de Chaves
A criptografia é tão segura quanto as suas chaves. Uma chave vazada anula o propósito, então vale seguir estes princípios.
Guardar as chaves separadas dos dados que elas protegem Mantê-las em hardware dedicado resistente a violação (HSM) Trocá-las (rotação) regularmente Controlar o acesso a elas com autenticação forte e privilégio mínimo
O Azure Key Vault é um serviço de gerenciamento de chaves na nuvem que administra chaves, certificados e segredos em um só lugar.
Dica de prova: "tranca e destranca com a mesma chave" é simétrica, "tranca com a chave pública e destranca com a privada" é assimétrica, e "assina com a chave privada e verifica com a pública" é assinatura digital.
---
Hash: uma Impressão Digital que não Pode Ser Revertida
Uma impressão digital confirma que uma pessoa é quem diz ser, mas não dá para reconstruir o rosto dela só com a digital. O hash é uma transformação unidirecional que, por meio de um algoritmo, converte qualquer entrada em uma sequência de tamanho fixo (o hash).
| Propriedade | Descrição | |------|------| | Unidirecional | Não é possível recuperar o valor original a partir do hash | | Determinístico | A mesma entrada com o mesmo algoritmo gera sempre o mesmo hash | | Tamanho fixo | Seja a entrada um caractere ou um livro inteiro, o hash tem o mesmo tamanho | | Sem chave | Ao contrário da criptografia, não usa chave |
Armazenamento de Senhas e Salt
Os sistemas guardam só o hash da senha do usuário, e não a senha em si. Na entrada, a senha digitada é convertida em hash de novo e comparada com o valor guardado, então mesmo que o banco de dados inteiro seja roubado, o atacante só obtém hashes.
Como os hashes são determinísticos, porém, os atacantes podem calcular antes os hashes de milhões de senhas comuns em tabelas (tabelas rainbow) e procurar correspondências. Para evitar isso, cada senha recebe um valor aleatório chamado salt antes do hash. Assim, dois usuários com a mesma senha acabam com hashes diferentes, e as tabelas pré-calculadas deixam de funcionar.
| Aspecto | Criptografia | Hash | |------|------|------| | Usa chave | Sim | Não | | Recuperar o original | Sim, descriptografando com a chave | Não | | Tamanho do resultado | Varia com o tamanho da entrada | Sempre fixo | | Uso típico | Esconder dados para guardar e transmitir | Guardar senhas, detectar adulteração |
!Criptografia simétrica, criptografia assimétrica e hash lado a lado
Dica de prova: se o cenário só precisa conferir se dois valores são iguais, sem nunca conhecer o original, a resposta é hash. A sincronização de hash de senha do Microsoft Entra Connect também sincroniza com a nuvem um hash da senha, e não a senha real.
---
Provedores de Identidade: a Entrada em Nome de Todos
Um hotel não investiga sozinho a identidade dos hóspedes: confia no passaporte emitido por um governo. A autenticação moderna funciona do mesmo jeito. Em vez de cada aplicativo gerenciar suas próprias contas e senhas, os aplicativos entregam a autenticação a um serviço dedicado, o provedor de identidade (IdP).
Um provedor de identidade cria e gerencia as informações de identidade e oferece autenticação, autorização e auditoria a aplicativos e serviços. Quando um usuário tenta entrar em um aplicativo, o aplicativo o envia ao provedor de identidade, que confere as credenciais e emite um token de segurança. Como o aplicativo confia no provedor de identidade, ele aceita o token como prova de uma entrada bem-sucedida. O Microsoft Entra ID é o provedor de identidade da Microsoft, e entrar com uma conta do Google ou do Facebook funciona pelo mesmo princípio.
Tokens e Declarações
Um token carrega informações (declarações ou claims) como o ID exclusivo do usuário, nome e e-mail, funções e grupos, e quando foi emitido e quando expira. Os tokens expiram depois de um tempo, então um token roubado não pode ser usado para sempre.
| Token | Significado | Usado para | |------|------|------| | Token de ID | Prova de que o usuário entrou com sucesso (autenticação) | O aplicativo saber quem é o usuário | | Token de acesso | Permissão para acessar um recurso específico em nome do usuário (autorização) | Ler uma agenda, chamar uma API etc. |
Protocolos Padrão
| Protocolo | Papel principal | Uso comum | |------|------|------| | OpenID Connect (OIDC) | Autenticação | Aplicativos modernos na nuvem e móveis (construído sobre o OAuth 2.0) | | OAuth 2.0 | Autorização | Acessar recursos protegidos com tokens de acesso | | SAML | Autenticação e federação | Aplicativos corporativos, aplicativos antigos, federação entre organizações |
Um provedor de identidade central viabiliza o SSO, em que uma única entrada dá acesso a todos os aplicativos que confiam nesse provedor, e desabilitar uma conta no provedor corta de uma vez o acesso a todos os aplicativos conectados.
Dica de prova: uma distinção frequente é que o OpenID Connect é usado para autenticação e o OAuth 2.0 para autorização. Se perguntarem quem emite o token, a resposta é o provedor de identidade.
---
Serviços de Diretório e Active Directory
Imagine um único livro que junta o cadastro de funcionários da empresa com a lista de acessos ao prédio. Um diretório é um repositório de informações sobre os usuários, dispositivos, grupos, políticas e aplicativos de uma rede, e um serviço de diretório é o software que guarda essas informações e responde a "Quem é este usuário, a quais grupos pertence e o que pode acessar?".
O Active Directory Domain Services (AD DS) é o serviço de diretório local da Microsoft, em uso desde o Windows 2000 Server, e o servidor que executa o AD DS se chama controlador de domínio. Isto é o que o AD DS permite fazer.
Gerenciar vários sistemas locais com uma única identidade por usuário Controlar as configurações dos dispositivos de toda a organização com a Política de Grupo Autenticar usuários em aplicativos locais com Kerberos e NTLM Organizar usuários e computadores em unidades organizacionais (OUs)
O AD DS, porém, foi projetado para PCs Windows dentro da rede corporativa. Ele não oferece suporte nativo à autenticação em aplicativos SaaS, ao gerenciamento de iOS e Android, a protocolos modernos como OAuth 2.0 e OpenID Connect nem ao acesso remoto sem VPN.
| Aspecto | AD DS | Microsoft Entra ID | |------|------|------| | Localização | Controladores de domínio locais | Serviço na nuvem operado pela Microsoft | | Protocolos | Kerberos, NTLM, LDAP | OpenID Connect, OAuth 2.0, SAML | | Gerenciamento | Política de Grupo, unidades organizacionais (OUs) | Acesso condicional, registros de aplicativo, políticas na nuvem | | Ambiente ideal | Dispositivos e aplicativos Windows dentro da rede corporativa | Aplicativos SaaS, dispositivos móveis, trabalho remoto |
O Entra ID não é "o AD DS levado para a