O login único permite que os utilizadores iniciem sessão uma única vez e acedam a várias aplicações sem terem de introduzir as credenciais novamente. O utilizador autentica-se num provedor de identidade. Esse fornecedor emite um token ou uma declaração. Cada aplicação confia no fornecedor e aceita o token. O utilizador transita entre sistemas sem problemas. A equipa de TI gere apenas um conjunto de credenciais, em vez de dezenas.

O SSO melhora a segurança e a usabilidade. Menos palavras-passe significam menos palavras-passe reutilizadas e menos chamadas ao suporte técnico. Centraliza a autenticação, o que facilita a aplicação da MFA e a revogação do acesso quando um utilizador se desliga da empresa. Por outro lado, também concentra o risco. Se o fornecedor de identidade for comprometido, todas as aplicações ligadas ficam expostas. Os atacantes da SolarWinds em 2020 usaram a falsificação de tokens SAML para contornar o SSO e aceder a contas Microsoft 365. A técnica explorou uma vulnerabilidade na validação de tokens. O SSO não é uma solução mágica. Exige autenticação robusta no fornecedor, monitorização de uso anómalo de tokens e configuração cuidadosa. Quando bem implementado, reduz a superfície de ataque e melhora a experiência do utilizador. Quando mal implementado, cria um ponto único de falha que os atacantes irão explorar.

protocolos SSO

• SAML — baseado em XML, comum em aplicações empresariais.
• OAuth 2.0 — estrutura de autorização, muito utilizada
• OpenID Connect — camada de autenticação sobre OAuth
• Kerberos — baseado em tickets, comum em ambientes Windows

O SSO é conveniente e arriscado na mesma medida. A conveniência é a razão da sua disseminação. O risco é a razão pela qual precisa de ser cuidadosamente reforçado.