Autentificarea unică permite utilizatorilor să se conecteze o singură dată și să acceseze mai multe aplicații fără a introduce din nou acreditările. Utilizatorul se autentifică la un furnizor de identitate. Furnizorul respectiv emite un token sau o aserțiune. Fiecare aplicație are încredere în furnizor și acceptă token-ul. Utilizatorul se mută între sisteme fără probleme. Departamentul IT gestionează un singur set de acreditări în loc de zeci.

SSO îmbunătățește securitatea și ușurința în utilizare. Mai puține parole înseamnă mai puține parole reutilizate și mai puține tichete de asistență. Centralizează autentificarea, ceea ce facilitează aplicarea MFA și revocarea accesului atunci când cineva pleacă. De asemenea, concentrează riscul. Dacă furnizorul de identitate este compromis, fiecare aplicație conectată este expusă. Atacatorii SolarWinds din 2020 au folosit falsificarea de tokenuri SAML pentru a ocoli SSO și a accesa conturile Microsoft 365. Tehnica a exploatat o slăbiciune în modul în care au fost validate tokenurile. SSO nu este o soluție miraculoasă. Necesită o autentificare puternică la furnizor, monitorizarea utilizării anormale a tokenurilor și o configurare atentă. Dacă este bine făcut, reduce suprafața de atac și îmbunătățește experiența utilizatorului. Dacă este prost făcut, creează un punct unic de eșec pe care atacatorii îl vor găsi.

Protocoale SSO

• SAML — bazat pe XML, comun în aplicațiile enterprise
• OAuth 2.0 — cadru de autorizare, utilizat pe scară largă
• OpenID Connect — strat de autentificare peste OAuth
• Kerberos — bazat pe tichete, comun în mediile Windows

SSO este convenabil și riscant în egală măsură. Comoditatea este motivul pentru care s-a răspândit. Riscul este motivul pentru care necesită o consolidare atentă.