Enkeltpålogging lar brukere logge på én gang og få tilgang til flere applikasjoner uten å måtte oppgi påloggingsinformasjon på nytt. Brukeren autentiserer seg hos en identitetsleverandør. Denne leverandøren utsteder et token eller en bekreftelse. Hver applikasjon stoler på leverandøren og godtar tokenet. Brukeren beveger seg sømløst mellom systemer. IT administrerer ett sett med påloggingsinformasjon i stedet for dusinvis.

SSO forbedrer sikkerhet og brukervennlighet. Færre passord betyr færre gjenbrukte passord og færre brukerstøttehenvendelser. Det sentraliserer autentisering, noe som gjør det enklere å håndheve MFA og tilbakekalle tilgang når noen forlater tjenesten. Det konsentrerer også risikoen. Hvis identitetsleverandøren kompromitteres, eksponeres alle tilkoblede applikasjoner. SolarWinds-angriperne i 2020 brukte SAML-tokenforfalskning for å omgå SSO og få tilgang til Microsoft 365-kontoer. Teknikken utnyttet en svakhet i hvordan tokener ble validert. SSO er ikke en mirror bullet. Det krever sterk autentisering hos leverandøren, overvåking av unormal tokenbruk og nøye konfigurasjon. Gjør det bra, reduserer det angrepsflaten og forbedrer brukeropplevelsen. Gjør det dårlig, skaper det et enkelt feilpunkt som angripere vil finne.

SSO-protokoller

• SAML — XML-basert, vanlig i bedriftsapplikasjoner
• OAuth 2.0 — autorisasjonsrammeverk, mye brukt
• OpenID Connect – autentiseringslag oppå OAuth
• Kerberos – billettbasert, vanlig i Windows-miljøer

SSO er både praktisk og risikabelt. Bekvemmeligheten er grunnen til at det spredte seg. Risikoen er grunnen til at det trenger nøye herding.