Единая авторизация позволяет пользователям входить в систему один раз и получать доступ к нескольким приложениям без повторного ввода учетных данных. Пользователь проходит аутентификацию у поставщика идентификации. Этот поставщик выдает токен или утверждение. Каждое приложение доверяет поставщику и принимает токен. Пользователь беспрепятственно переходит между системами. ИТ-отдел управляет одним набором учетных данных вместо десятков.

SSO повышает безопасность и удобство использования. Меньшее количество паролей означает меньшее количество повторно используемых паролей и меньшее количество обращений в службу поддержки. Оно централизует аутентификацию, что упрощает обеспечение многофакторной аутентификации и отзыв доступа при увольнении. Оно также концентрирует риски. Если поставщик идентификационных данных скомпрометирован, каждое подключенное приложение оказывается под угрозой. В 2020 году злоумышленники, занимавшиеся атаками на SolarWinds, использовали подделку токенов SAML для обхода SSO и доступа к учетным записям Microsoft 365. Этот метод использовал уязвимость в процессе проверки токенов. SSO — это не панацея. Для его работы необходима надежная аутентификация у поставщика, мониторинг аномального использования токенов и тщательная настройка. При правильной настройке он уменьшает поверхность атаки и улучшает пользовательский опыт. При неправильной настройке он создает единую точку отказа, которую обнаружат злоумышленники.

Протоколы SSO

• SAML — основанный на XML инструмент, широко используемый в корпоративных приложениях.
• OAuth 2.0 — широко используемая система авторизации.
• OpenID Connect — уровень аутентификации поверх OAuth.
• Kerberos — система на основе билетов, широко распространенная в средах Windows.

Система SSO в равной степени удобна и рискованна. Удобство — причина её распространения. Риск — причина необходимости тщательной защиты.