El inicio de sesión único permite a los usuarios acceder una sola vez a múltiples aplicaciones sin necesidad de volver a introducir sus credenciales. El usuario se autentica ante un proveedor de identidad, que emite un token o una aserción. Cada aplicación confía en el proveedor y acepta el token. El usuario puede cambiar de sistema sin problemas. El departamento de TI gestiona un único conjunto de credenciales en lugar de decenas.

El inicio de sesión único (SSO) mejora la seguridad y la usabilidad. Menos contraseñas significan menos contraseñas reutilizadas y menos incidencias en el servicio de asistencia. Centraliza la autenticación, lo que facilita la aplicación de la autenticación multifactor (MFA) y la revocación del acceso cuando un usuario se marcha. Sin embargo, también concentra el riesgo. Si el proveedor de identidad se ve comprometido, todas las aplicaciones conectadas quedan expuestas. Los atacantes de SolarWinds en 2020 utilizaron la falsificación de tokens SAML para eludir el SSO y acceder a cuentas de Microsoft 365. Esta técnica explotó una vulnerabilidad en la validación de tokens. El SSO no es la solución definitiva. Requiere una autenticación sólida por parte del proveedor, la monitorización del uso anómalo de tokens y una configuración cuidadosa. Bien implementado, reduce la superficie de ataque y mejora la experiencia del usuario. Mal implementado, crea un único punto de fallo que los atacantes encontrarán.

protocolos SSO

• SAML: basado en XML, común en aplicaciones empresariales.
• OAuth 2.0 — marco de autorización, ampliamente utilizado
• OpenID Connect: capa de autenticación sobre OAuth.
• Kerberos: basado en tickets, común en entornos Windows.

El SSO es conveniente y arriesgado a partes iguales. Su conveniencia explica su expansión. El riesgo justifica la necesidad de reforzarlo cuidadosamente.