Met single sign-on kunnen gebruikers zich één keer aanmelden en toegang krijgen tot meerdere applicaties zonder opnieuw inloggegevens in te voeren. De gebruiker authenticeert zich bij een identiteitsprovider. Deze provider geeft een token of authenticatiebewijs af. Elke applicatie vertrouwt de provider en accepteert het token. De gebruiker kan naadloos tussen systemen schakelen. IT beheert één set inloggegevens in plaats van tientallen.

SSO verbetert de beveiliging en gebruiksvriendelijkheid. Minder wachtwoorden betekent minder hergebruikte wachtwoorden en minder helpdesktickets. Het centraliseert authenticatie, waardoor het gemakkelijker is om MFA af te dwingen en toegang te intrekken wanneer iemand vertrekt. Het concentreert echter ook het risico. Als de identiteitsprovider wordt gecompromitteerd, zijn alle verbonden applicaties kwetsbaar. De aanvallers van SolarWinds in 2020 gebruikten SAML-tokenvervalsing om SSO te omzeilen en toegang te krijgen tot Microsoft 365-accounts. De techniek maakte gebruik van een zwak punt in de manier waarop tokens werden gevalideerd. SSO is geen wondermiddel. Het vereist sterke authenticatie bij de provider, monitoring van afwijkend tokengebruik en zorgvuldige configuratie. Goed uitgevoerd, verkleint het het aanvalsoppervlak en verbetert het de gebruikerservaring. Slecht uitgevoerd, creëert het een single point of failure dat aanvallers zullen vinden.

SSO-protocollen

• SAML — XML-gebaseerd, veel gebruikt in bedrijfsapplicaties
• OAuth 2.0 — een veelgebruikt autorisatiekader
• OpenID Connect — een authenticatielaag bovenop OAuth.
• Kerberos — op tickets gebaseerd, veel gebruikt in Windows-omgevingen

SSO is even handig als riskant. De handigheid is de reden waarom het zo wijdverspreid is geraakt. Het risico is de reden waarom het zorgvuldige beveiliging nodig heeft.