Az egyszeri bejelentkezés lehetővé teszi a felhasználók számára, hogy egyszer bejelentkezve több alkalmazáshoz is hozzáférjenek anélkül, hogy újra meg kellene adniuk a hitelesítő adatokat. A felhasználó egy identitásszolgáltatónál hitelesíti magát. A szolgáltató tokent vagy ellenőrzést bocsát ki. Minden alkalmazás megbízik a szolgáltatóban, és elfogadja a tokent. A felhasználó zökkenőmentesen vált a rendszerek között. Az informatikai részleg egyetlen hitelesítő adatkészletet kezel a több tucat helyett.

Az egyszeri bejelentkezés (SSO) javítja a biztonságot és a használhatóságot. Kevesebb jelszó kevesebb újrafelhasznált jelszót és kevesebb ügyfélszolgálati jegyet jelent. Központosítja a hitelesítést, ami megkönnyíti az MFA kikényszerítését és a hozzáférés visszavonását, amikor valaki kilép. A kockázatot is koncentrálja. Ha az identitásszolgáltató biztonsága veszélybe kerül, minden csatlakoztatott alkalmazás ki van téve a veszélynek. A 2020-as SolarWinds támadók SAML tokenhamisítást használtak az SSO megkerülésére és a Microsoft 365-fiókokhoz való hozzáférésre. A technika a tokenek érvényesítésének gyengeségét kihasználva fejlesztette ki. Az egyszeri bejelentkezés nem csodaszer. Erős hitelesítést igényel a szolgáltatónál, a rendellenes tokenek használatának figyelését és gondos konfigurációt. Jól alkalmazva csökkenti a támadási felületet és javítja a felhasználói élményt. Rosszul alkalmazva egyetlen hibapontot hoz létre, amelyet a támadók megtalálnak.

SSO protokollok

• SAML — XML-alapú, gyakori a vállalati alkalmazásokban
• OAuth 2.0 – széles körben használt engedélyezési keretrendszer
• OpenID Connect — hitelesítési réteg az OAuth felett
• Kerberos – jegyalapú, gyakori Windows környezetekben

Az SSO ugyanolyan kényelmes és kockázatos. A kényelem az oka annak, hogy terjed. A kockázat az, amiért körültekintő megerősítést igényel.