Jednotné přihlašování (SSO) umožňuje uživatelům přihlásit se jednou a přistupovat k více aplikacím bez nutnosti opětovného zadávání přihlašovacích údajů. Uživatel se ověřuje u poskytovatele identity. Tento poskytovatel vydá token nebo assert. Každá aplikace poskytovateli důvěřuje a token přijímá. Uživatel se mezi systémy bezproblémově pohybuje. IT oddělení spravuje jednu sadu přihlašovacích údajů místo desítek.

Jednotné přihlašování (SSO) zlepšuje zabezpečení a použitelnost. Méně hesel znamená méně opakovaně použitých hesel a méně tiketů na helpdesk. Centralizuje ověřování, což usnadňuje vynucování vícefaktorové autentizace (MFA) a odvolání přístupu, když někdo odejde. Zároveň koncentruje riziko. Pokud je poskytovatel identity ohrožen, je odhalena každá připojená aplikace. Útočníci na SolarWinds v roce 2020 použili padělání tokenů SAML k obejití SSO a přístupu k účtům Microsoft 365. Tato technika zneužila slabinu v ověřování tokenů. Jednotné přihlašování (SSO) není zázračné řešení. Vyžaduje silné ověřování u poskytovatele, monitorování anomálního používání tokenů a pečlivou konfiguraci. Pokud se provede dobře, snižuje plochu pro útok a zlepšuje uživatelskou zkušenost. Pokud se provede špatně, vytváří jediný bod selhání, který útočníci najdou.

Protokoly SSO

• SAML – založený na XML, běžný v podnikových aplikacích
• OAuth 2.0 — autorizační framework, široce používaný
• OpenID Connect — autentizační vrstva nad OAuth
• Kerberos – založený na ticketech, běžný v prostředí Windows

Jednotné přihlašování (SSO) je pohodlné i riskantní stejnou měrou. Pohodlí je důvodem, proč se rozšířilo. Riziko je důvodem, proč je třeba jej pečlivě chránit.