Desde que nos lembramos, as equipes de TI e segurança governamentais têm tido que escolher entre a automação ágil e moderna da nuvem e as estruturas de segurança criptográficas rígidas e legadas. Agora o senhor(a) não precisa mais.
Embora as agências governamentais dos EUA tenham feito grandes progressos na segurança da autenticação humana usando ferramentas como cartões inteligentes e Okta FastPass, proteger a comunicação máquina a máquina (M2M) nos bastidores continua sendo um desafio fundamental. À medida que as agências criam fluxos de trabalho automatizados para gerenciar o ciclo de vida do usuário, provisionar recursos e orquestrar operações de segurança, esses fluxos de trabalho automatizados precisam interagir com a infraestrutura externa.
Historicamente, proteger essas conexões de API de saída significava lidar com as dores de cabeça de segredos compartilhados, chaves de API ou autenticação básica — métodos que introduzem sérios riscos de exposição se um único token vazar. Para se manter à frente dos atacantes modernos, é necessário estender um modelo de segurança dinâmico Zero Trust para além da tela de login, abrangendo diretamente as operações automatizadas.
Por isso, temos o prazer de anunciar que Okta Workflows agora oferece suporte a TLS mútuo de saída (mTLS). Desenvolvida exclusivamente para organizações que operam em nossas células de conformidade, essa funcionalidade oferece as equipes do setor público um mecanismo de autenticação altamente seguro, baseado em certificados, projetado para atender às exigências rigorosas de ambientes altamente regulamentados.
Por que mTLS para o Okta Workflows?
Ao proteger a camada de integração de saída por meio de handshakes criptográficos — onde ambos os lados de uma conexão de rede verificam suas identidades digitais — o mTLS mitiga as vulnerabilidades associadas a tokens compartilhados.
Com o mTLS de saída do Okta Workflows, as agências federais e seus parceiros podem:
- Elimine a fadiga de segredos: abandone os tokens de API estáticos, as chaves de longa duração e a autenticação básica, substituindo-os por verificação de identidade criptografada e com suporte para rotação.
- Integre a automação moderna com a infraestrutura legada: acione com segurança fluxos de trabalho automatizados que se conectam perfeitamente a sistemas externos mais antigos e altamente isolados, que podem não suportar protocolos modernos como o OAuth, mas exigem rigidamente autenticação mútua baseada em certificados.
- Implemente o Zero Trust não humano: estenda os princípios da Arquitetura Zero Trust (ZTA) a fluxos de trabalho automatizados, verificando a identidade criptográfica explícita do mecanismo do fluxo de trabalho antes de executar ações externas.
Como funciona: o repositório de confiança dos Workflows
No cerne dessa funcionalidade está o conector da API de Workflows e o armazenamento de confiança, uma camada de gerenciamento segura integrada nativamente ao seu ambiente de conformidade do Okta Workflows. O conector de API e o repositório de certificados confiáveis funcionam como uma biblioteca centralizada para as conexões de API e os certificados necessários para iniciar conexões de saída seguras.
A configuração de um pipeline mTLS de saída visa restringir rigorosamente a confiança e a segurança a conexões específicas:
- Carregar um certificado de Autoridade Certificadora (CA): os administradores carregam os certificados de CA necessários diretamente no repositório de confiança do Workflows, permitindo que o Okta Workflows verifique definitivamente a identidade do serviço de destino externo.
- Configurar o Conector de API: Ao criar ou atualizar um fluxo de automação, os administradores simplesmente navegam até o Conector de API, selecionam mTLS como o tipo de autenticação e o vinculam ao certificado carregado.
Uma vez implantado, cada ação de saída executada pelo fluxo de trabalho aciona um handshake criptográfico mútuo, validando ambos os lados da ponte antes que um único byte de dados da agência seja trocado.
Responsabilidades do cliente e mandatos federais
Implementar um modelo de segurança de defesa em profundidade é uma jornada compartilhada. Embora a Okta forneça um ambiente seguro para a criação dessas automações dentro dos limites federais, os clientes mantêm diversas responsabilidades para garantir a conformidade com as normas federais, como a OMB M-22-09 e a NIST SP 800-53rev5:
- Configuração do endpoint: Os clientes devem garantir que sua infraestrutura externa de recebimento esteja explicitamente configurada para exigir e validar corretamente os certificados mTLS e suas respectivas autoridades emissoras.
- Criptografia FIPS: Em conformidade com as exigências federais, as agências devem verificar se os módulos criptográficos e as autoridades de certificação gerados e utilizados atendem aos padrões FIPS 140.
- Gestão do ciclo de vida dos certificados: As agências são responsáveis por gerenciar, auditar e rotacionar os certificados mantidos no repositório de confiança do Workflows, de acordo com sua missão interna e requisitos de segurança.
Pronto para proteger os pipelines automatizados da sua agência?
Proteger identidades não humanas e infraestruturas automatizadas pode ser complexo. Nossa documentação do Okta Workflows mTLS pode ajudar sua agência a começar a configurar pipelines mTLS automatizados.
Ouça em primeira mão como a Okta continua a luta contra ataques de identidade, tanto em vetores humanos quanto não humanos. Entre em contato com o seu representante da Okta ou assista às nossas sessões do Gov Identity Summit sob demanda para saber como a Okta está estendendo Zero Trust em todo o governo federal.
