L'authentification unique permet aux utilisateurs de se connecter une seule fois et d'accéder à plusieurs applications sans avoir à saisir à nouveau leurs identifiants. L'utilisateur s'authentifie auprès d'un fournisseur d'identité, qui émet un jeton ou une assertion. Chaque application fait confiance à ce fournisseur et accepte le jeton. L'utilisateur passe ainsi d'un système à l'autre en toute transparence. Le service informatique gère un seul ensemble d'identifiants au lieu de plusieurs.

L'authentification unique (SSO) améliore la sécurité et l'ergonomie. Moins de mots de passe signifie moins de réutilisations et donc moins de demandes d'assistance. Elle centralise l'authentification, ce qui facilite la mise en œuvre de l'authentification multifacteur (MFA) et la révocation des accès en cas de départ. Cependant, elle concentre également les risques. Si le fournisseur d'identité est compromis, toutes les applications connectées sont exposées. En 2020, lors de l'attaque contre SolarWinds, les auteurs ont utilisé la falsification de jetons SAML pour contourner l'authentification unique et accéder à des comptes Microsoft 365. Cette technique exploitait une faille dans la validation des jetons. L'authentification unique n'est pas une solution miracle. Elle nécessite une authentification forte chez le fournisseur, une surveillance des utilisations anormales des jetons et une configuration rigoureuse. Bien mise en œuvre, elle réduit la surface d'attaque et améliore l'expérience utilisateur. Mal mise en œuvre, elle crée un point de défaillance unique que les attaquants exploiteront.

Protocoles SSO

• SAML — Protocole basé sur XML, courant dans les applications d'entreprise
• OAuth 2.0 — cadre d'autorisation, largement utilisé
• OpenID Connect — couche d'authentification basée sur OAuth
• Kerberos — système basé sur les tickets, courant dans les environnements Windows

L'authentification unique (SSO) est à la fois pratique et risquée. Sa praticité explique sa diffusion. Le risque justifie la nécessité d'un renforcement rigoureux de sa sécurité.