Logowanie jednokrotne pozwala użytkownikom zalogować się raz i uzyskać dostęp do wielu aplikacji bez konieczności ponownego wprowadzania danych uwierzytelniających. Użytkownik uwierzytelnia się u dostawcy tożsamości. Dostawca ten wystawia token lub potwierdzenie. Każda aplikacja ufa dostawcy i akceptuje token. Użytkownik płynnie porusza się między systemami. Dział IT zarządza jednym zestawem danych uwierzytelniających zamiast dziesiątkami.

SSO poprawia bezpieczeństwo i użyteczność. Mniej haseł oznacza mniej haseł używanych ponownie i mniej zgłoszeń do pomocy technicznej. Centralizuje uwierzytelnianie, co ułatwia egzekwowanie uwierzytelniania wieloskładnikowego (MFA) i unieważnianie dostępu, gdy ktoś odchodzi. Koncentruje również ryzyko. Jeśli dostawca tożsamości zostanie naruszony, każda połączona aplikacja zostanie narażona na atak. Atakujący z SolarWinds w 2020 roku wykorzystali fałszowanie tokenów SAML, aby ominąć SSO i uzyskać dostęp do kont Microsoft 365. Technika ta wykorzystywała lukę w sposobie walidacji tokenów. SSO nie jest rozwiązaniem idealnym. Wymaga silnego uwierzytelniania u dostawcy, monitorowania pod kątem nieprawidłowego użycia tokenów i starannej konfiguracji. Dobrze wykonane zmniejsza powierzchnię ataku i poprawia komfort użytkownika. Źle wykonane tworzy pojedynczy punkt awarii, który atakujący łatwo wykryją.

Protokoły SSO

• SAML — oparty na XML, powszechny w aplikacjach korporacyjnych
• OAuth 2.0 — powszechnie używany framework autoryzacji
• OpenID Connect — warstwa uwierzytelniania oparta na OAuth
• Kerberos — oparty na biletach, powszechny w środowiskach Windows

SSO jest wygodne i ryzykowne w równym stopniu. Wygoda jest powodem jego rozpowszechnienia. Ryzyko jest powodem, dla którego wymaga starannego wzmocnienia.