Single sign-on giver brugerne mulighed for at logge ind én gang og få adgang til flere applikationer uden at indtaste legitimationsoplysninger igen. Brugeren autentificerer sig hos en identitetsudbyder. Denne udbyder udsteder et token eller en assertion. Hver applikation har tillid til udbyderen og accepterer tokenet. Brugeren bevæger sig problemfrit mellem systemer. IT administrerer ét sæt legitimationsoplysninger i stedet for dusinvis.

SSO forbedrer sikkerhed og brugervenlighed. Færre adgangskoder betyder færre genbrugte adgangskoder og færre helpdesk-sager. Det centraliserer godkendelse, hvilket gør det nemmere at håndhæve MFA og tilbagekalde adgang, når nogen forlader udbyderen. Det koncentrerer også risikoen. Hvis identitetsudbyderen kompromitteres, eksponeres alle tilsluttede applikationer. SolarWinds-angriberne i 2020 brugte SAML-tokenforfalskning til at omgå SSO og få adgang til Microsoft 365-konti. Teknikken udnyttede en svaghed i, hvordan tokens blev valideret. SSO er ikke en mirror bullet. Det kræver stærk godkendelse hos udbyderen, overvågning for unormal tokenbrug og omhyggelig konfiguration. Hvis det gøres godt, reducerer det angrebsfladen og forbedrer brugeroplevelsen. Hvis det gøres dårligt, skaber det et enkelt fejlpunkt, som angribere vil finde.

SSO-protokoller

• SAML — XML-baseret, almindelig i virksomhedsapplikationer
• OAuth 2.0 — autorisationsramme, udbredt
• OpenID Connect — godkendelseslag oven på OAuth
• Kerberos — billetbaseret, almindelig i Windows-miljøer

SSO er både bekvemt og risikabelt i lige mål. Bekvemmeligheden er grunden til, at det spredte sig. Risikoen er grunden til, at det skal hærdes omhyggeligt.