Đăng nhập một lần (Single Sign-On) cho phép người dùng đăng nhập một lần và truy cập nhiều ứng dụng mà không cần nhập lại thông tin đăng nhập. Người dùng xác thực với nhà cung cấp danh tính. Nhà cung cấp đó sẽ cấp một mã thông báo hoặc xác nhận. Mỗi ứng dụng tin tưởng nhà cung cấp và chấp nhận mã thông báo đó. Người dùng di chuyển giữa các hệ thống một cách liền mạch. Bộ phận CNTT chỉ quản lý một bộ thông tin đăng nhập thay vì hàng chục bộ khác nhau.

Đăng nhập một lần (SSO) cải thiện bảo mật và khả năng sử dụng. Ít mật khẩu hơn đồng nghĩa với việc ít mật khẩu được sử dụng lại hơn và ít yêu cầu hỗ trợ hơn. Nó tập trung hóa xác thực, giúp dễ dàng thực thi xác thực đa yếu tố (MFA) và thu hồi quyền truy cập khi ai đó rời đi. Tuy nhiên, nó cũng tập trung rủi ro. Nếu nhà cung cấp danh tính bị xâm phạm, mọi ứng dụng được kết nối đều bị ảnh hưởng. Những kẻ tấn công SolarWinds năm 2020 đã sử dụng kỹ thuật giả mạo mã thông báo SAML để vượt qua SSO và truy cập vào tài khoản Microsoft 365. Kỹ thuật này đã khai thác điểm yếu trong cách xác thực mã thông báo. SSO không phải là giải pháp thần kỳ. Nó cần xác thực mạnh mẽ ở phía nhà cung cấp, giám sát việc sử dụng mã thông báo bất thường và cấu hình cẩn thận. Nếu thực hiện tốt, nó sẽ giảm thiểu bề mặt tấn công và cải thiện trải nghiệm người dùng. Nếu thực hiện kém, nó sẽ tạo ra một điểm yếu duy nhất mà kẻ tấn công sẽ tìm thấy.

Giao thức SSO

• SAML — dựa trên XML, phổ biến trong các ứng dụng doanh nghiệp.
• OAuth 2.0 — khung ủy quyền, được sử dụng rộng rãi
• OpenID Connect — lớp xác thực nằm trên OAuth
• Kerberos — hệ thống dựa trên vé xác thực, phổ biến trong môi trường Windows.

Đăng nhập một lần (SSO) vừa tiện lợi vừa tiềm ẩn rủi ro. Sự tiện lợi là lý do nó lan rộng. Rủi ro là lý do cần phải tăng cường bảo mật cẩn thận.