Single Sign-On (SSO) è una tecnologia che consente agli utenti di accedere a più applicazioni software con un unico set di credenziali di accesso. Elimina la necessità per gli utenti di ricordare credenziali di accesso diverse per ciascuna applicazione, rendendola una soluzione conveniente e che fa risparmiare tempo per privati e aziende. In questo articolo discuteremo cos'è SSO, come funziona, i vantaggi dell'utilizzo di SSO e i diversi tipi di SSO.
Cos'è SSO?
Single sign-on (SSO) è un metodo di autenticazione che consente agli utenti di autenticarsi in modo sicuro con più applicazioni e siti Web utilizzando un solo set di credenziali. Con SSO, gli utenti devono effettuare l'accesso una sola volta per accedere a tutte le loro app e servizi, eliminando la necessità di ricordare e inserire più password. SSO funziona in base a una relazione di trust tra l'applicazione (fornitore di servizi) e il provider di identità, in cui i token contenenti le informazioni dell'utente vengono scambiati per l'autenticazione.
I token Single Sign-On sono dati o informazioni raccolti da un sistema a un altro durante il processo SSO. In genere contengono informazioni di identificazione dell'utente, come un indirizzo e-mail o un nome utente, e devono essere firmati digitalmente per garantire che provengano da una fonte attendibile. Le soluzioni SSO possono essere fornite come software as a service (SaaS) ed eseguite nel cloud, semplificando la gestione degli accessi e migliorando l'esperienza dell'utente.
SSO è considerato sicuro quando vengono seguite le best practice. Aiuta a proteggere gli utenti sfruttando criteri di sicurezza coerenti, identificando e bloccando automaticamente i tentativi di accesso dannosi. Inoltre, consente l'implementazione di strumenti di sicurezza aggiuntivi come l'autenticazione a più fattori (MFA). Single Sign-On svolge anche un ruolo nella gestione dell'accesso alle identità (IAM), nella verifica delle identità degli utenti, nella fornitura dei livelli di autorizzazione e nell'integrazione con i registri delle attività e gli strumenti di controllo degli accessi.
Come funziona SSO?
Per comprendere come funziona Single Sign-On, è necessario comprendere il concetto di identità federata. L'identità federata è la condivisione di attributi di identità tra sistemi affidabili ma autonomi. Quando un utente è considerato attendibile da un sistema (provider di identità), gli viene automaticamente concesso l'accesso a tutti gli altri sistemi che hanno stabilito una relazione di fiducia con il provider di identità.
Come funziona:
- L'utente avvia il processo di autenticazione accedendo a un'applicazione oa un sito Web parte del sistema Single Sign-On (noto come fornitore di servizi).
- Il fornitore di servizi invia un token contenente informazioni sull'utente (ad esempio, l'indirizzo e-mail) al sistema Single Sign-On (noto come provider di identità) come parte di una richiesta di autenticazione.
- Il provider di identità controlla se l'utente è già stato autenticato. Se l'utente è autenticato, il provider di identità concede l'accesso al provider di servizi e passa al passaggio 5.
- Se l'utente non ha effettuato l'accesso, viene richiesto di fornire al provider di identità le credenziali necessarie (ad es. nome utente e password).
- Una volta che il provider di identità convalida le credenziali, restituisce un token al provider di servizi, confermando l'avvenuta autenticazione.
- Il token viene passato attraverso il browser dell'utente al provider di servizi.
- Il provider di servizi convalida il token in base alla relazione di trust stabilita con il provider di identità durante la configurazione iniziale.
- Quando l'utente tenta di accedere a un altro sito Web o applicazione all'interno del sistema Single Sign-On, il nuovo sito Web o applicazione deve avere una relazione di trust simile configurata con la soluzione Single Sign-On e il flusso di autenticazione segue gli stessi passaggi.
Protocolli SSO
SSO utilizza vari protocolli per abilitare i processi di autenticazione e autorizzazione. Due protocolli comunemente usati sono OpenID Connect e SAML 2.0.
- OpenID Connect si basa su OAuth 2.0 e fornisce un livello di identità per l'identificazione e l'autorizzazione. Consente al provider di identità di condividere le informazioni dell'utente con il provider di servizi senza rivelare le credenziali dell'utente.
- SAML (Security Assertion Markup Language) è un protocollo basato su XML per lo scambio di dati di autenticazione e autorizzazione tra le parti coinvolte nell'SSO.
Perché le persone usano il Single Sign-On?
SSO è ampiamente utilizzato sia in ambienti consumer che aziendali per vari motivi, con uno dei motivi principali per cui le persone lo utilizzano è per migliorare la sicurezza e la conformità. Con SSO, gli utenti devono solo ricordare e gestire un set di credenziali, riducendo la probabilità di password deboli o riutilizzate. Questo aiuta a mitigare il rischio di hacking relativo alle password e di accesso non autorizzato a informazioni sensibili. Single Sign-On può anche aiutare le organizzazioni a soddisfare i requisiti di conformità alle normative, come Sarbanes-Oxley e HIPAA, fornendo funzionalità di autenticazione, controllo degli accessi e audit trail efficaci.
Tipi di SSO
Esistono diversi tipi di configurazioni Single Sign-On, tra cui:
#1. SSO avviato dal fornitore di servizi
Qui è dove il provider di servizi Single Sign-On (SP) autentica l'utente. All'utente vengono presentati uno o più provider di identità esterni e, dopo l'autenticazione riuscita, l'utente viene restituito all'applicazione.
#2. SSO avviato dal provider di identità
In questo caso, un Identity Provider (IdP) di terze parti è responsabile dell'autenticazione. L'IdP esegue l'autenticazione e l'autorizzazione e, dopo l'autenticazione riuscita, l'utente viene restituito all'applicazione.
I servizi SSO social come Google, LinkedIn e Facebook consentono agli utenti di accedere ad applicazioni di terze parti utilizzando le proprie credenziali di autenticazione dei social media. Sebbene ciò fornisca comodità agli utenti, può anche presentare rischi per la sicurezza.
#4. SSO aziendale
Il software e i servizi Enterprise Single Sign-On (eSSO), come Okta e OneLogin, forniscono gestori di password che consentono agli utenti di accedere alle applicazioni di destinazione riproducendo le credenziali degli utenti. Ciò elimina la necessità per gli utenti di ricordare più password.
#5. Da impresa a impresa (B2B)
Single Sign-On può semplificare la creazione di pacchetti di applicazioni per il consumo aziendale. Supporta scenari comuni di federazione aziendale, come Active Directory (AD), Lightweight Directory Access Protocol (LDAP), Ping o Security Assertion Markup Language (SAML).
#6. Business to Consumer (B2C) o Customer Identity Access Management (CIAM)
Single Sign-On può fornire ai clienti un accesso agevole ad applicazioni o servizi. I clienti possono autenticarsi tramite provider di identità social popolari come Google, Facebook, LinkedIn, Twitter e Microsoft invece di creare account separati per ciascun servizio.
Cos'è l'SSO nella sicurezza informatica?
SSO può migliorare la sicurezza informatica in diversi modi:
- Autenticazione centralizzata: Con SSO, un server di autenticazione centralizzato è incaricato di gestire l'autenticazione. Questo server è responsabile della verifica delle identità degli utenti e della concessione o negazione dell'accesso in base alle politiche di controllo degli accessi dell'organizzazione.
- Controllo degli accessi più forte: SSO consente alle organizzazioni di applicare criteri di controllo degli accessi coerenti su tutti i sistemi e le applicazioni. Ciò garantisce che gli utenti abbiano accesso solo alle risorse che sono autorizzati a utilizzare.
- Autenticazione a più fattori (MFA): SSO può essere combinato con MFA per fornire un ulteriore livello di sicurezza. MFA richiede agli utenti di fornire più forme di autenticazione, come una password e un passcode monouso inviato al proprio dispositivo mobile, riducendo ulteriormente il rischio di accesso non autorizzato.
- Analisi comportamentale: le organizzazioni possono utilizzare l'analisi comportamentale per rilevare attività anomale o sospette che potrebbero indicare un account compromesso.
Qual è un esempio di SSO?
Esempi di integrazione SSO includono:
- L'implementazione di Google per i suoi prodotti software. Una volta effettuato l'accesso a Gmail, gli utenti ottengono automaticamente l'accesso ad altri prodotti Google come YouTube, Google Drive e Google Foto.
- SSO di Facebook, che consente agli utenti di accedere ad applicazioni di terze parti utilizzando le proprie credenziali di Facebook
Quali sono i tre vantaggi dell'SSO?
L'integrazione SSO offre diversi vantaggi:
- Gli utenti devono solo ricordare e inserire un set di credenziali, riducendo l'affaticamento della password e risparmiando tempo speso per l'autenticazione. Ciò può portare a una maggiore produttività e soddisfazione degli utenti.
- SSO consente alle organizzazioni di applicare misure di autenticazione forte, come l'autenticazione a più fattori (MFA), per ridurre il rischio di accesso non autorizzato.
- Single Sign-On consente alle organizzazioni di monitorare e rilevare le attività sospette in modo più efficace monitorando il comportamento degli utenti su più sistemi.
- Con SSO, le applicazioni non devono più gestire i propri sistemi di autenticazione, riducendo il carico sui team IT. Ciò può portare a risparmi sui costi e a un'amministrazione semplificata.
- L'integrazione SSO può aiutare le organizzazioni a soddisfare i requisiti di conformità alle normative fornendo un controllo degli accessi sicuro e audit trail
Rischi associati all'utilizzo di Single Sign-On
- L'implementazione di Single Sign-On può richiedere molto tempo e può essere impegnativa, in particolare per le applicazioni che non supportano in modo nativo i protocolli SSO.
- Single Sign-On introduce potenziali rischi per la sicurezza, come il rischio di accesso non autorizzato se un utente lascia la propria macchina connessa o il rischio di un attacco Denial of Service al servizio di autenticazione centrale.
- Non tutte le applicazioni e i servizi possono supportare gli stessi protocolli Single Sign-On, richiedendo configurazione e personalizzazione aggiuntive.
- Il provider di identità diventa un componente fondamentale del sistema Single Sign-On e qualsiasi problema con il provider di identità può influire sull'accesso a tutte le applicazioni e i servizi integrati.
Quali sono le tecnologie utilizzate in SSO?
Esistono diverse tecnologie e protocolli utilizzati nelle implementazioni SSO:
- Kerberos: l'installazione basata su Kerberos utilizza le credenziali dell'utente per emettere ticket di concessione ticket, recuperando ticket di servizio per altre applicazioni senza rientro.
- SAML (Security Assertion Markup Language): SAML è uno standard XML per l'autenticazione e l'autorizzazione degli utenti nei domini protetti. Mantiene anche una directory utente e un fornitore di servizi.
- SSO basato su smart card: SSO basato su smart card richiede agli utenti finali di utilizzare una carta per l'accesso iniziale senza reinserire nomi utente o password.
- SSO federato: L'attendibilità viene stabilita tra una soluzione Single Sign-On e le risorse dell'infrastruttura federata, garantendo così l'accesso senza convalida della password. Pertanto, gli utenti accedono ai provider di identità, che forniscono token, ticket o asserzioni.
Scelta del miglior metodo di autenticazione SSO
Le cose che dovresti considerare prima di scegliere un metodo di autenticazione SSO sono:
- Compatibilità dell'applicazione: Garantire la compatibilità del metodo SSO con le applicazioni integrate, poiché alcune potrebbero supportare metodi specifici.
- Requisiti di sicurezza: i metodi SSO forniscono diversi livelli di sicurezza, con Kerberos per l'autenticazione di una singola organizzazione e SAML e OAuth per l'integrazione esterna.
- Esperienza utente: Considera l'esperienza dell'utente quando scegli un metodo SSO. Alcuni metodi forniscono un'esperienza utente più fluida consentendo l'autenticazione dell'utente utilizzando i social media o gli account di posta elettronica esistenti.
- Scalabilità e crescita: Scegli un metodo Single Sign-On per crescere con la tua azienda e adattarti alle tue mutevoli esigenze. Alcune soluzioni SSO basate su cloud possono essere più scalabili e più facili da gestire rispetto a quelle on-premise.
Che cos'è l'SSO nel servizio clienti?
È possibile ottenere diversi modi per implementare l'integrazione SSO nel servizio clienti:
- SSO interno: questo approccio di integrazione SSO comporta l'utilizzo di un provider di identità all'interno della rete dell'organizzazione per autenticare gli utenti su più applicazioni. L'organizzazione gestisce l'infrastruttura Single Sign-On e controlla l'accesso degli utenti.
- SSO esterno: in questo approccio, viene utilizzato un provider di identità esterno per autenticare gli utenti. Le popolari piattaforme di social media come Google, LinkedIn, Apple, Twitter e Facebook offrono servizi Single Sign-On che consentono agli utenti di accedere ad applicazioni di terze parti utilizzando le proprie credenziali di social media.
Cosa è necessario per l'integrazione SSO?
Per l'integrazione SSO, è fondamentale considerare diversi requisiti e considerazioni. Questi includono il supporto degli standard aperti, l'onboarding degli utenti, il vero SSO, la disponibilità e il ripristino di emergenza, la prontezza per i dispositivi mobili, le regole flessibili per le password, l'autenticazione avanzata, la creazione di report, l'analisi comportamentale, la gestione delle autorizzazioni e il supporto per gli sviluppatori.
I protocolli ampiamente utilizzati come SAML dovrebbero supportare gli standard aperti, mentre l'onboarding degli utenti dovrebbe supportare i metodi di autenticazione dei consumatori comunemente usati. Il vero SSO dovrebbe fondamentalmente consentire il single sign-on, richiedendo solo un nome utente e una password per accedere a tutte le app/siti.
La disponibilità e il ripristino di emergenza devono essere costantemente dimostrati. Inoltre, la predisposizione per i dispositivi mobili dovrebbe essere supportata tramite protocolli come SAML e partnership con fornitori MDM.
Dovrebbero essere applicate regole di password flessibili e dovrebbero essere disponibili opzioni di autenticazione avanzate, come l'autenticazione a più fattori o basata sul rischio adattativa. Inoltre, la creazione di report dovrebbe consentire alle organizzazioni di soddisfare i requisiti di conformità e migliorare la sicurezza in base ai dati sulle minacce. L'analisi comportamentale può adattarsi e rispondere in modo intelligente al comportamento degli utenti, mentre la gestione delle autorizzazioni dovrebbe essere gestita attraverso l'integrazione con i provider di identità.
Inoltre, il supporto per gli sviluppatori dovrebbe includere API e documentazione per Single Sign-On per applicazioni interne e sistemi di terze parti. Una roadmap di gestione delle identità e degli accessi ben definita è essenziale per un'implementazione di successo. Considera generalmente gli obiettivi, i requisiti degli utenti, la progettazione dell'architettura, i requisiti di controllo degli accessi, il perfezionamento e le licenze adeguate.
Qual è la differenza tra SSO e autenticazione?
Single Sign-On e autenticazione sono concetti diversi per scopo e funzionalità. L'autenticazione è il processo di verifica dell'identità di un utente. Allo stesso tempo, Single Sign-On è una sessione utente centralizzata e un servizio di autenticazione che consente agli utenti di accedere a più applicazioni o servizi con un unico set di credenziali.
SSO generalmente migliora l'esperienza dell'utente riducendo la necessità di più password e informazioni di accesso per diverse applicazioni. Condivide le informazioni sulla sessione tra diversi domini, con lo stesso token, superando le limitazioni imposte dalla stessa politica di origine nei browser web. In genere, si concentra sulla comodità dell'utente consentendo l'accesso a più applicazioni con un unico set di credenziali, mentre l'autenticazione si concentra sulla verifica dell'identità di utenti o dispositivi.
Inoltre, le soluzioni Single Sign-On utilizzano spesso protocolli come SAML o OAuth2/OpenID Connect per l'accesso diretto a più applicazioni, mentre l'autenticazione può coinvolgere vari protocolli e meccanismi a seconda del sistema.
Articoli Correlati
- SISTEMA DI GESTIONE DELL'IDENTITÀ
- CHE COS'È L'AUTENTICAZIONE BIOMETRICA: definizione, esempi e come funziona
- Come proteggere il tuo business online dalle minacce informatiche?
- CHE COS'È LA GUI: cos'è e come funziona?
- PIATTAFORMA DI ESPERIENZA DIGITALE: definizione e migliori piattaforme
Riferimenti
