Este documento descreve o novo atributo do sistema de controle de acesso, denominado "Ignorar Troca Periódica de Senha". O objetivo é oferecer maior flexibilidade e otimizar a gestão de contas de serviço, reduzindo a sobrecarga administrativa e de segurança associada à troca de senhas de forma automática e periódica. Tal atributo está sendo ofertado de forma temporária, até a entrega da solução definitiva, que trará avanços significativos no mecanismo de autenticação.

Contas de Serviço: usuários cadastrados via Configurador > Usuário > Senhas > Usuários e que terão como finalidade o uso para autenticação de serviços rest, soap e qualquer outro serviço/processo onde a troca periódica da senha possa eventualmente causar alguma indisponibilidade.

Cenários de Uso Recomendado

O atributo "Ignorar Troca Periódica de Senha" foi projetado especificamente para contas de serviço. O uso deste atributo em contas de serviço elimina a necessidade de intervenção manual e periódica por parte dos administradores de TI para atualizar senhas de aplicações, o que poderia causar interrupções nos serviços.

Riscos de Segurança e Impacto no Sistema

Apesar dos benefícios operacionais, o uso indiscriminado do atributo "Ignorar Troca Periódica de Senha" pode comprometer significativamente a segurança do sistema.

• Aumento do Risco de Comprometimento: Senhas antigas e inalteradas são mais vulneráveis a ataques de força bruta. A falta de troca periódica de senhas em um grande número de contas aumenta a superfície de ataque do sistema. Se uma senha é comprometida, o atacante pode ter acesso a ela por um período ilimitado de tempo, já que a política de troca não será aplicada para revogar o acesso.
• Exposição a Vulnerabilidades: Se a senha de um usuário for exposta em um vazamento de dados de terceiros, a ausência de uma política de expiração significa que a senha continuará válida até ser alterada manualmente. Isso aumenta o risco de a conta ser acessada por agentes maliciosos.

Auditoria

A ausência de um ciclo de renovação de senhas dificulta a aderência a normas de segurança e auditorias que exigem a implementação de políticas de expiração de senhas. A manutenção de um grande número de senhas estáticas pode gerar um passivo de segurança para a organização.

Diante disso, estamos disponibilizando um novo card em Dashboard de Privilégios, onde o Administrador poderá acompanhar a lista de usuários com o novo atributo ativado, viabilizando o controle, identificação e crescimento deste número de usuários.

Recomendações e Melhores Práticas

• Uso Restrito: O atributo deve ser ativado apenas e exclusivamente para contas de serviço.

• Monitoramento Ativo: Contas com este atributo ativo devem ser monitoradas de perto. Acesso, atividade e tentativas de login falhas devem ser auditadas regularmente.

• Educação e Conscientização: Administradores devem ser instruídos sobre os riscos e o uso adequado do atributo. A política de troca de senhas para usuários comuns (a cada 3 meses, por exemplo) deve ser mantida e reforçada sempre que possível.