Sistema de gestão de credenciais

Trabalho realizado no âmbito do Mestrado de Cibersegurança da Unidade Curricular de Administração e Segurança de Sistemas.

Docente: Pedro Pinto

Alunos: Afonso Antunes, Jorge Rato e Miguel Frias

Introdução

Um sistema de gestão de credenciais (SGC) representa uma solução tecnológica fundamental para organizações que procuram estabelecer um controlo centralizado, seguro e eficiente sobre a miríade de credenciais digitais utilizadas nas suas operações. Estas credenciais, que vão desde palavras passe e certificados digitais até tokens de autenticação, cartões inteligentes e identidades digitais, são a chave de acesso a sistemas, aplicações e dados essenciais ao funcionamento da organização.

O National Institute of Standards and Technology (NIST) define a gestão de credenciais como o processo de administrar o ciclo de vida das credenciais das entidades utilizadas para autenticação [1]. Contudo, a abrangência de um SGC moderno estende-se além da simples autenticação, englobando também a autorização de acesso e a implementação de políticas abrangentes de segurança [4].

Um SGC, frequentemente referido como CMS (Credential Management System), consiste num software com uma interface centralizada que oferece ferramentas personalizáveis para auxiliar os administradores na governação integral das credenciais dentro de uma organização [4]. A diversidade de tipos de credenciais existentes reflete a variedade de requisitos de segurança e plataformas que um SGC eficaz deve ser capaz de suportar, oferecendo uma solução unificada para a gestão do acesso [4].

A importância da gestão de credenciais tem crescido exponencialmente devido ao aumento constante das ameaças cibernéticas e da crescente complexidade dos sistemas de informação. As credenciais digitais, pela sua natureza, concedem acesso a informações sensíveis e dados pessoais de uma organização, tornando-se alvos prioritários para agentes maliciosos que procuram infiltrar-se em áreas não autorizadas [4]. A negligência na gestão destas credenciais pode resultar em graves violações de dados e acesso não autorizado a informações confidenciais, com consequências financeiras e reputacionais significativas [5]. Estatísticas recentes indicam que uma grande proporção dos incidentes de segurança tem origem no comprometimento de credenciais. Por exemplo, mais de metade dos incidentes de segurança são atribuíveis ao roubo de credenciais [6], e sistemas com credenciais inadequadas representam uma parcela significativa dos vetores iniciais de ataque em ambientes de computação na nuvem [7]. A gestão de credenciais, portanto, constitui a base de um acesso seguro em qualquer organização, funcionando como uma barreira essencial contra as crescentes ameaças cibernéticas [5]. Os atacantes utilizam diversas técnicas sofisticadas, como o “credential harvesting” e o “credential stuffing”, para obter e explorar credenciais válidas [4]. A existência de um SGC robusto é essencial para mitigar essas vulnerabilidades e reforçar a postura de segurança de uma organização.

O presente relatório tem como objetivo investigar, analisar e apresentar o conceito, o funcionamento, a importância e os principais desafios de um sistema de gestão de credenciais numa organização. Inicialmente, será definida detalhadamente a natureza de um SGC e a sua relevância no contexto da segurança da informação. Em seguida, serão descritos os principais componentes de um SGC e o ciclo de vida das credenciais digitais. O relatório abordará também as tecnologias e soluções que integram um SGC, com particular destaque para soluções de código aberto. Serão identificados e discutidos os principais desafios na implementação e gestão de credenciais, bem como as boas práticas recomendadas. Por fim, o relatório apresentará uma conclusão que sintetiza os principais pontos abordados e oferece uma reflexão crítica sobre a importância destes sistemas no panorama atual de segurança.

Componentes e Funcionamento de um SGC

Um sistema de gestão de credenciais é composto por diversos componentes interligados que facilitam a administração segura e eficiente das credenciais digitais ao longo do seu ciclo de vida.

1. Componentes Principais

• Emissão e Criação de Credenciais: Esta componente engloba os processos e ferramentas para gerar novos conjuntos de credenciais para utilizadores e sistemas. Um SGC eficaz deve ser capaz de criar diferentes tipos de credenciais, tais como palavras passe robustas, certificados digitais para autenticação de dispositivos e utilizadores, e tokens de autenticação para acesso temporário [4]. As ferramentas de gestão integradas no SGC permitem gerar, distribuir, organizar e revogar credenciais de forma individualizada para cada utilizador ou dispositivo, garantindo precisão e controlo em tempo real [4]. A capacidade de gerar palavras passe fortes e exclusivas é uma funcionalidade essencial, frequentemente incluindo geradores de palavras passe que seguem políticas de complexidade predefinidas [8]. Para além das palavras passe, o sistema pode gerir a criação de certificados digitais, que são documentos eletrónicos associando uma chave pública a uma identidade, e tokens, que são sequências de caracteres criptografados, concedendo autorização durante uma sessão [4]. A versatilidade na criação de diferentes tipos de credenciais permite que a organização se adapte a diversos requisitos de segurança e plataformas.
• Armazenamento Seguro de Credenciais: Uma vez criadas, as credenciais devem ser armazenadas de forma segura para evitar acessos não autorizados. Um SGC fornece um repositório centralizado para guardar as credenciais das contas dos utilizadores e os respetivos privilégios de acesso [6]. A prática recomendada é armazenar as credenciais, tais como palavras passe, chaves de API e certificados, num cofre centralizado protegido por controlos de acesso rigorosos e criptografia forte [8]. A criptografia é um elemento fundamental de qualquer arquitetura de segurança que visa proteger credenciais armazenadas, tornando-as ilegíveis para indivíduos não autorizados [5]. Os cofres de credenciais funcionam como repositórios seguros e encriptados onde as palavras passe e outras informações sensíveis são armazenadas, proporcionando uma camada adicional de proteção [8]. A centralização e a criptografia robusta são, portanto, cruciais para salvaguardar as credenciais contra acessos indevidos e potenciais violações de dados.
• Distribuição e Provisionamento de Credenciais: Esta componente trata da forma como as credenciais são entregues aos utilizadores e sistemas que delas necessitam. As ferramentas de gestão de um SGC permitem distribuir credenciais de forma granular, até ao nível de um único utilizador ou dispositivo [4]. Um aspeto importante é o provisionamento cuidadoso de contas, onde o acesso é concedido com base no princípio do menor privilégio, assegurando que os utilizadores recebem apenas as credenciais e permissões necessárias para desempenhar as suas funções [6]. A automação do processo de onboarding de novos utilizadores, que inclui a criação e a distribuição de credenciais, é uma prática fundamental para a eficiência e a segurança da gestão de credenciais [12]. Uma distribuição eficiente e controlada, juntamente com um provisionamento baseado no princípio do menor privilégio, garante que os utilizadores tenham apenas o acesso estritamente necessário para as suas tarefas, minimizando o risco de utilização indevida ou exploração em caso de comprometimento.
• Revogação e Desprovisionamento de Credenciais: Em situações como alterações de funções, saída de funcionários ou suspeita de comprometimento, é essencial revogar e desprovisionar as credenciais de forma imediata. As ferramentas de gestão de um SGC permitem revogar credenciais com a mesma granularidade com que são distribuídas [4]. Um dos desafios que os sistemas de gestão de credenciais procuram resolver é a revogação eficaz de credenciais quando um determinado funcionário deixa a organização ou muda de função [8]. O desprovisionamento de contas antigas ou não utilizadas é igualmente importante para impedir o acesso não autorizado por ex-funcionários ou utilizadores temporários que já não necessitam de acesso [10]. A automação dos processos de onboarding e offboarding contribui significativamente para manter a segurança, garantindo que as credenciais são criadas no início e revogadas no final do ciclo de vida do utilizador na organização [6]. A revogação e o desprovisionamento oportunos são, portanto, cruciais para evitar que indivíduos não autorizados, como ex-funcionários ou contas comprometidas, continuem a ter acesso aos sistemas e dados da organização.
• Gestão de Políticas de Credenciais: Um SGC permite definir e aplicar políticas de segurança robustas para as credenciais, incluindo requisitos de complexidade, prazos de expiração e restrições à reutilização de palavras passe. A implementação de políticas detalhadas e rigorosas de palavras-passe é fundamental para inibir o uso de credenciais fracas e previsíveis [4]. Estas políticas devem especificar claramente os critérios para o comprimento mínimo, a complexidade (como por exemplo a exigência de diferentes tipos de caracteres) e a frequência com que as palavras passe devem ser alteradas [11]. A rotação regular de palavras passe é uma prática recomendada para limitar o período de validade de uma credencial comprometida [6]. Adicionalmente, as políticas devem desencorajar fortemente a reutilização de palavras passe em diferentes plataformas e sistemas, pois uma violação numa única plataforma pode comprometer múltiplas contas se a mesma palavra passe for utilizada em várias delas [4]. A aplicação de políticas fortes e bem definidas de credenciais constitui uma defesa fundamental contra uma vasta gama de ataques baseados em palavras passe.

2. Ciclo de Vida das Credenciais

Um sistema de gestão de credenciais é composto por diversos componentes interligados que facilitam a administração segura e eficiente das credenciais digitais ao longo do seu ciclo de vida.

As credenciais digitais, tal como os utilizadores a que estão associadas, passam por um ciclo de vida bem definido, desde a sua criação até à sua eventual destruição [15]. Compreender e gerir este ciclo de vida é crucial para manter a segurança e a usabilidade dos sistemas de informação. As principais fases do ciclo de vida das credenciais incluem:

• Criação: Esta fase inicial envolve a geração de uma nova credencial para um utilizador ou sistema. Os processos de criação devem garantir que as credenciais são seguras e únicas, seguindo as políticas definidas pela organização;
• Ativação: Após a criação, a credencial pode precisar de ser ativada antes de poder ser utilizada. Este passo pode envolver a definição de uma palavra passe inicial pelo utilizador ou a distribuição segura de um certificado ou token;
• Utilização: Durante esta fase, a credencial é utilizada para autenticar e autorizar o acesso a sistemas, aplicações e recursos. O SGC pode monitorizar a utilização das credenciais para detetar atividades suspeitas;
• Renovação: As credenciais, especialmente as palavras passe e os certificados, têm geralmente um prazo de validade. A fase de renovação envolve a atualização da credencial antes que expire, garantindo a continuidade do acesso sem comprometer a segurança;
• Suspensão: Em certas situações, como suspeita de comprometimento ou ausência prolongada de um utilizador, uma credencial pode ser temporariamente suspensa, impedindo o seu uso até que a situação seja resolvida;
• Revogação: A revogação torna uma credencial permanentemente inválida. Este processo é essencial em caso de comprometimento, saída de um funcionário ou alteração de funções que não justifiquem a manutenção do acesso anterior;
• Destruição: A fase final do ciclo de vida envolve a eliminação segura da credencial e de quaisquer informações sensíveis associadas, garantindo que não possa ser recuperada ou utilizada indevidamente no futuro.

A gestão eficaz de cada uma destas fases, caracterizadas na tabela 1, é feita idealmente através da automação proporcionada por um SGC, sendo fundamental para garantir que apenas utilizadores e sistemas autorizados tenham acesso aos recursos da organização e que as credenciais comprometidas sejam rapidamente identificadas e desativadas.

Tabela 1 — Ciclo de Vida das Credenciais

Tecnologias e Soluções para SGC

A implementação de um sistema de gestão de credenciais eficaz envolve a utilização de diversas tecnologias e soluções, cada uma desempenhando um papel específico na proteção e gestão das credenciais digitais.

1. Tecnologias e Soluções Comuns

• Sistemas de Autenticação Multifatorial (MFA): O MFA adiciona uma camada de segurança crucial ao exigir que os utilizadores forneçam dois ou mais fatores de verificação para acederem a um sistema ou aplicação [6]. Estes fatores podem incluir algo que o utilizador sabe (como uma palavra passe), algo que o utilizador tem (como um dispositivo móvel ou token) ou algo que o utilizador é (como dados biométricos) [10]. A implementação do MFA reduz significativamente o risco de acesso não autorizado, mesmo que uma palavra passe seja comprometida.
• Soluções de Single Sign-On (SSO): O SSO simplifica o processo de autenticação para os utilizadores, permitindo-lhes aceder a múltiplas aplicações e serviços com um único conjunto de credenciais [6]. Isto não só melhora a experiência do utilizador, como também aumenta a segurança ao centralizar a autenticação e facilitar a aplicação de políticas de segurança consistentes em toda a organização.
• Sistemas de Privileged Access Management (PAM): As soluções PAM são projetadas para controlar e monitorizar o acesso a sistemas e informações críticas que requerem privilégios elevados [8]. Estes sistemas fornecem controlo de acesso granular, rastreamento de atividades e auditoria, garantindo que apenas utilizadores autorizados possam realizar ações sensíveis e que todas as atividades sejam registadas para fins de segurança e conformidade [10].
• Infraestruturas de Chave Pública (PKI) e Ferramentas de Gestão de Certificados Digitais: A PKI é um sistema que utiliza certificados digitais para verificar a identidade de utilizadores, dispositivos e serviços [17]. As ferramentas de gestão de certificados digitais automatizam o ciclo de vida dos certificados, incluindo a emissão, renovação e revogação, garantindo a sua validade e segurança [16].

2. Soluções Open Source Relevantes

Para a gestão de utilizadores e das suas credenciais em ambientes que vão além das soluções comerciais tradicionais, existem soluções open source de Identity and Access Management (IAM) comparáveis ao Active Directory, LDAP ou FreeIPA. Estas soluções disponibilizam funcionalidades robustas para gerir identidades, autenticação e autorização de acesso a diversos serviços e aplicações.

• Keycloak: Uma solução open source para gestão de identidade e acesso, o Keycloak oferece funcionalidades como Single Sign-On (SSO), federação de utilizadores, autenticação robusta e gestão de utilizadores [18]. Possui suporte integrado para ligação a servidores LDAP ou Active Directory existentes para federação de utilizadores [13]. O Keycloak é um projeto maduro, apoiado pela Red Hat, adequado para uma variedade de cenários organizacionais, incluindo a gestão de acesso a aplicações web e serviços em ambientes Linux [3]. É leve, rápido e escalável, criando formulários de login e gerindo a autenticação e armazenamento seguro das credenciais dos utilizadores [11];
• OpenIAM: Uma ferramenta open source para gestão de identidade que oferece Single Sign-On, gestão de utilizadores e grupos, autenticação flexível e provisionamento automatizado [2]. Prioriza iniciativas de segurança Zero Trust e conformidade regulatória, disponibilizando soluções IAM para identidade da força de trabalho e identidade dos clientes [9]. O OpenIAM pode ser implementado on-premises ou na cloud, utilizando scripts Terraform e gráficos Helm [7];
• Authentik: Uma plataforma open source para gestão de identidade que pretende substituir soluções como Azure/Entra ID, Keycloak, Ping e Okta [19]. Permite auto-hospedagem em qualquer ambiente, oferecendo workflows pré-construídos, políticas totalmente personalizáveis e APIs para automação. O Authentik suporta protocolos como OAuth2/OIDC, SAML2, LDAP e RADIUS;
• Apache Syncope: Um sistema open source destinado à gestão de identidades digitais em ambientes empresariais [9]. Como projeto da Apache Software Foundation, possui forte suporte da comunidade, recebendo atualizações regulares e patches de segurança. É altamente extensível, construído com Java e Spring, permitindo aos desenvolvedores personalizar funcionalidades para satisfazer os requisitos empresariais de segurança [20].
• FreeIPA: Embora não mencionado explicitamente nos resultados da pesquisa, o FreeIPA é uma solução open source amplamente utilizada em ambientes Linux para gestão de identidade e autenticação, disponibilizando serviços como LDAP, Kerberos e DNS de forma centralizada.

O resultado da comparação destas soluções encontra-se sintetizada na tabela 2.

Tabela 2 — Comparação de Soluções Open Source

Desafios e Boas Práticas na Implementação e Gestão de Credenciais

A implementação e gestão eficaz de um sistema de gestão de credenciais numa organização não estão isentas de desafios. Identificar estes desafios e adotar as boas práticas adequadas são passos cruciais para garantir a segurança e a eficiência do sistema.

1. Principais Desafios

• Gestão eficaz de palavras passe: A gestão de palavras passe continua a ser um desafio significativo devido à tendência dos utilizadores para utilizar palavras passe fracas ou reutilizá-las em múltiplas contas, aumentando o risco de ataques [4]. Impor políticas rigorosas pode enfrentar resistência dos utilizadores devido à perceção de inconveniência [6];
• Implementação e adoção generalizada da autenticação multifatorial (MFA): A MFA representa uma camada adicional de segurança que dificulta significativamente o acesso não autorizado, mesmo que uma palavra passe seja comprometida [10]. Contudo, garantir uma implementação abrangente e uma adoção generalizada pode ser desafiador devido à complexidade percebida ou inconveniência por parte dos utilizadores. Encontrar um equilíbrio entre segurança e usabilidade é essencial para uma implementação eficaz.
• Integração do SGC com sistemas e aplicações existentes: Um SGC eficaz precisa de se integrar perfeitamente com os sistemas e aplicações já em uso, incluindo sistemas legados com protocolos mais antigos [21]. Esta integração pode ser complexa e dispendiosa, exigindo frequentemente soluções personalizadas para garantir a compatibilidade.
• Garantia de conformidade com regulamentações de segurança e privacidade de dados: As organizações enfrentam um crescente número de regulamentações, como o RGPD na União Europeia e em Portugal, exigindo controlos rigorosos sobre armazenamento e gestão das credenciais [7]. A não conformidade pode resultar em multas elevadas e danos de reputação significativos.
• Educação e sensibilização dos utilizadores: A segurança das credenciais depende, em última análise, do comportamento dos utilizadores [6]. Educar e sensibilizar continuamente os utilizadores sobre práticas seguras é um desafio constante, crucial para mitigar riscos relacionados com a partilha de credenciais e ataques de phishing [12].
• Gestão segura de contas com privilégios administrativos: As contas com privilégios administrativos concedem acesso elevado, tornando-se alvos atraentes para atacantes [8]. A implementação de segurança adicional, como MFA reforçada e monitorização contínua, é essencial, embora desafiadora. Soluções PAM eficazes requerem planeamento e atenção cuidadosos.

2. Boas Práticas Recomendadas

Para superar os desafios associados à implementação e gestão de credenciais, as organizações devem adotar as seguintes boas práticas:

• Implementar o princípio do menor privilégio: Conceder o nível mínimo de acesso necessário aos utilizadores para desempenharem as suas funções, minimizando o impacto de contas comprometidas [6].
• Realizar auditorias e revisões de acesso regulares: Rever periodicamente os direitos de acesso para garantir que são apropriados e necessários, removendo acessos desnecessários para reduzir vulnerabilidades [4].
• Automatizar processos do ciclo de vida das credenciais: Automatizar tarefas como onboarding e offboarding de utilizadores, rotação de palavras passe e renovação de certificados para reduzir erros humanos e assegurar consistência [4].
• Adotar uma arquitetura de segurança Zero Trust: Implementar um modelo que assume que nenhuma entidade é inerentemente confiável, exigindo verificação contínua antes de conceder acesso [4].
• Utilizar módulos de segurança de hardware (HSMs): Empregar HSMs para proteger chaves criptográficas sensíveis, especialmente em organizações com requisitos rigorosos de segurança [22].
• Reforçar a importância de não partilhar palavras passe: Educar os utilizadores sobre os riscos associados à partilha de palavras passe e implementar mecanismos técnicos para evitar essa prática [4].
• Incentivar o uso de gestores de palavras passe: Promover ferramentas que criam e armazenam palavras passe fortes e únicas, reduzindo o uso de palavras passe fracas ou reutilizadas [4].
• Monitorizar e auditar atividades relacionadas com credenciais: Implementar sistemas de monitorização para identificar atividades suspeitas ou não autorizadas [4].
• Implementar um protocolo eficaz de revogação de credenciais: Garantir que as credenciais comprometidas ou não autorizadas sejam revogadas imediatamente e de forma clara [14].
• Realizar testes de penetração e simulações de ataques: Avaliar regularmente o sistema de gestão de credenciais através de testes e simulações para identificar e resolver vulnerabilidades [14].

A adoção destas práticas, juntamente com a escolha adequada de um sistema de gestão de credenciais, é fundamental para construir uma postura de segurança robusta e proteger eficazmente os ativos digitais das organizações.

Conclusão

O presente relatório explorou em detalhe o conceito, o funcionamento, a importância e os principais desafios associados aos sistemas de gestão de credenciais nas organizações. Foi aqui definido como uma solução tecnológica centralizada e segura para a criação, armazenamento, gestão, distribuição e revogação de credenciais digitais, sublinhando a sua relevância crítica no contexto da segurança cibernética atual. A análise dos componentes principais revelou a complexidade e a abrangência destas soluções, desde a emissão e armazenamento seguro de credenciais até à sua distribuição, revogação e à gestão de políticas robustas. A compreensão do ciclo de vida das credenciais, desde a sua criação até à destruição, demonstrou a necessidade de uma gestão contínua e atenta para garantir a segurança e a usabilidade.

A apresentação de diversas tecnologias e soluções, com um foco particular em opções de código aberto como Keycloak, OpenIAM, Authentik e Apache Syncope, evidenciou a disponibilidade de ferramentas flexíveis e poderosas que podem ser adaptadas às necessidades específicas de cada organização. A comparação destas soluções destacou os seus pontos fortes e fracos, reforçando a ideia de que a escolha ideal depende dos requisitos organizacionais, incluindo o tamanho da equipa, o tipo de credenciais a serem geridas e o nível de integração necessário.

A identificação dos principais desafios na implementação e gestão de credenciais, como a gestão de passwords, a adoção do MFA, a integração com sistemas existentes, a conformidade legal e a educação dos utilizadores, sublinhou a necessidade de uma abordagem multifacetada para a segurança das credenciais. A apresentação de boas práticas recomendadas, incluindo a implementação do princípio do menor privilégio, a realização de auditorias regulares, a automação de processos e a adoção de uma arquitetura Zero Trust, forneceu um guia prático para as organizações fortalecerem a sua postura de segurança.

Em suma, os sistemas de gestão de credenciais desempenham um papel fundamental na proteção dos ativos digitais das organizações no contexto atual, caracterizado por ameaças cibernéticas cada vez mais sofisticadas e pela crescente complexidade dos ambientes de TI. Estes sistemas não só facilitam a gestão eficiente das credenciais, como também contribuem significativamente para a redução do risco de violações de dados e acessos não autorizados. As tendências futuras na área de gestão de credenciais apontam para uma possível transição para um futuro sem passwords, com a adoção de métodos de autenticação mais seguros e convenientes. No entanto, no presente, a implementação e a gestão eficaz de um sistema robusto continuam a ser uma das defesas mais importantes contra as ameaças cibernéticas.

Referências

[1] CSRC, “Credential Management — Glossary,” *CSRC*. [Online]. Disponível: https://csrc.nist.rip/glossary/term/credential_management#:~:text=Definition(s)%3A,NISTIR%207497.

[2] What are the best open-source identity and access management tools — Quora. [Online]. Available: https://www.quora.com/What-are-the-best-open-source-identity-and-access-management-tools

[3] CSRC, “Credential Management,” *CSRC*. [Online]. Disponível: https://csrc.nist.gov/glossary/term/credential_management.

[4] SSH.com, “What is Credential Management?,” *SSH.com*. [Online]. Disponível: https://www.ssh.com/academy/secrets-management/what-is-credential-management.

[5] Hoop.dev, “Credential Management Security Frameworks: What Technology Managers Need to Know,” *Hoop.dev*. [Online]. Disponível: https://hoop.dev/blog/credential-management-security-frameworks-what-technology-managers-need-to-know/.

[6] StrongDM, “Credential Management: What It Is and Why It Matters,” *StrongDM*. [Online]. Disponível: https://www.strongdm.com/blog/credential-management.

[7] SuperTokens, “What is Credential Management and Why is it Important?,” *SuperTokens*. [Online]. Disponível: https://supertokens.com/blog/credential-management.

[8] Intellicomp, “What is Credential Management?,” *Intellicomp*. [Online]. Disponível: https://intellicomp.net/it-services-blog/credential-management/.

[9] Sertifier, “What is Credential Management? Definition & Best Practices,” *Sertifier*. [Online]. Disponível: https://sertifier.com/blog/what-is-credential-management-definition-best-practices/.

[10] Zluri, “Credential Entitlement Management: Definition, Types, and Best Practices,” *Zluri*. [Online]. Disponível: https://www.zluri.com/blog/credential-entitlement-management.

[11] Legit Security, “Credential Management: Best Practices, Challenges, and Examples,” Legit Security. [Online]. Disponível: https://www.legitsecurity.com/blog/credential-management.

[12] Dock.io, “Credential Management: A Comprehensive Guide for 2024,” *Dock.io*. [Online]. Disponível: https://www.dock.io/post/credential-management.

[13] Keeper Security, “5 Reasons Small Businesses Need a Password Manager,” Keeper Security. [Online]. Disponível: https://www.keepersecurity.com/blog/2024/09/16/five-reasons-small-businesses-need-a-password-manager/.

[14] Heimdal Security, “Credential Management: Definition and Best Practices,” *Heimdal Security*. [Online]. Disponível: https://heimdalsecurity.com/blog/credential-management-definition-best-practices/.

[15] Bitwarden, “What is Credential Lifecycle Management?,” *Bitwarden*. [Online]. Disponível: https://bitwarden.com/resources/credential-lifecycle-management/.

[16] Keyfactor, “What are the 5 Stages in the Certificate Lifecycle?,” *Keyfactor*. [Online]. Disponível: https://www.keyfactor.com/blog/what-are-the-5-stages-in-the-certificate-lifecycle/.

[17] Wikipedia, “Credential Management,” *Wikipedia*. [Online]. Disponível: https://en.wikipedia.org/wiki/Credential_Management.

[18] “Keycloak,” *keycloak.org*. [Online]. Disponível: https://www.keycloak.org/.

[19] TechRepublic, “6 Best Open Source Password Managers for Windows,” *TechRepublic*. [Online]. Disponível: https://www.techrepublic.com/article/best-password-manager-open-source-windows/.

[20] XDA Developers, “5 of the best open-source password managers I personally recommend,” *XDA Developers*. [Online]. Disponível: https://www.xda-developers.com/open-source-password-managers-personally-recommend/.

[21] Intercede, “Why You Need a Credential Management System,” *Intercede*. [Online]. Disponível: https://www.intercede.com/why-you-need-a-credential-management-system/.

[22] Thales CPL, “What is a Credentials Management System?,” *Thales CPL*. [Online]. Disponível: https://cpl.thalesgroup.com/faq/key-secrets-management/what-credentials-management-system.