Enkel inloggning låter användare logga in en gång och komma åt flera applikationer utan att ange inloggningsuppgifter igen. Användaren autentiserar sig hos en identitetsleverantör. Den leverantören utfärdar en token eller assertion. Varje applikation litar på leverantören och accepterar token. Användaren växlar sömlöst mellan system. IT hanterar en uppsättning inloggningsuppgifter istället för dussintals.

SSO förbättrar säkerhet och användbarhet. Färre lösenord innebär färre återanvända lösenord och färre helpdesk-ärenden. Det centraliserar autentisering, vilket gör det enklare att tillämpa MFA och återkalla åtkomst när någon lämnar. Det koncentrerar också risken. Om identitetsleverantören komprometteras exponeras alla anslutna applikationer. SolarWinds-angriparna från 2020 använde SAML-tokenförfalskning för att kringgå SSO och komma åt Microsoft 365-konton. Tekniken utnyttjade en svaghet i hur tokens validerades. SSO är ingen mirror bullet. Det kräver stark autentisering hos leverantören, övervakning av avvikande tokenanvändning och noggrann konfiguration. Bra utfört minskar det attackytan och förbättrar användarupplevelsen. Dåligt utfört skapar det en enda felpunkt som angripare kommer att hitta.

SSO-protokoll

• SAML — XML-baserad, vanlig i företagsapplikationer
• OAuth 2.0 — auktoriseringsramverk, allmänt använt
• OpenID Connect — autentiseringslager ovanpå OAuth
• Kerberos — ärendebaserat, vanligt i Windows-miljöer

SSO är både bekvämt och riskabelt. Bekvämligheten är anledningen till att det spred sig. Risken är anledningen till att det behöver noggrann härdning.