Single Sign-On (SSO) is een technologie waarmee gebruikers toegang hebben tot meerdere softwaretoepassingen met een enkele set inloggegevens. Het elimineert de noodzaak voor gebruikers om verschillende inloggegevens voor elke toepassing te onthouden, waardoor het een handige en tijdbesparende oplossing is voor particulieren en bedrijven. In dit artikel bespreken we wat SSO is, hoe het werkt, de voordelen van het gebruik van SSO en de verschillende soorten SSO.
Wat is eenmalige aanmelding?
Single sign-on (SSO) is een authenticatiemethode waarmee gebruikers zich veilig kunnen authenticeren bij meerdere applicaties en websites met slechts één set inloggegevens. Met SSO hoeven gebruikers zich maar één keer aan te melden om toegang te krijgen tot al hun apps en services, waardoor het niet meer nodig is om meerdere wachtwoorden te onthouden en in te voeren. SSO werkt op basis van een vertrouwensrelatie tussen de applicatie (serviceprovider) en de identiteitsprovider, waarbij tokens met gebruikersinformatie worden uitgewisseld voor authenticatie.
Single Sign-On-tokens zijn gegevens of informatie die tijdens het SSO-proces van het ene systeem naar het andere worden verzameld. Ze bevatten doorgaans gebruikersidentificerende informatie, zoals een e-mailadres of gebruikersnaam, en moeten digitaal zijn ondertekend om er zeker van te zijn dat ze afkomstig zijn van een betrouwbare bron. SSO-oplossingen kunnen worden geleverd als software as a service (SaaS) en draaien in de cloud, waardoor toegangsbeheer wordt vereenvoudigd en de gebruikerservaring wordt verbeterd.
SSO wordt als veilig beschouwd wanneer best practices worden gevolgd. Het helpt gebruikers te beschermen door gebruik te maken van een consistent beveiligingsbeleid, waarbij kwaadwillende inlogpogingen automatisch worden geïdentificeerd en geblokkeerd. Het maakt ook de inzet van aanvullende beveiligingstools mogelijk, zoals multifactor-authenticatie (MFA). Single Sign-On speelt ook een rol bij Identity Access Management (IAM), het verifiëren van gebruikersidentiteiten, het verstrekken van machtigingsniveaus en integratie met activiteitenlogboeken en toegangscontroletools.
Hoe werkt eenmalige aanmelding?
Om te begrijpen hoe Single Sign-On werkt, moet u het concept van gefedereerde identiteit begrijpen. Gefedereerde identiteit is het delen van identiteitsattributen tussen vertrouwde maar autonome systemen. Wanneer een gebruiker wordt vertrouwd door één systeem (identiteitsprovider), krijgt deze automatisch toegang tot alle andere systemen die een vertrouwde relatie met de identiteitsprovider hebben opgebouwd.
Hoe het werkt:
- De gebruiker start het authenticatieproces door toegang te krijgen tot een applicatie of website die deel uitmaakt van het Single Sign-On-systeem (bekend als de serviceprovider).
- De serviceprovider stuurt een token met informatie over de gebruiker (bijv. e-mailadres) naar het Single Sign-On-systeem (bekend als de identiteitsprovider) als onderdeel van een authenticatieverzoek.
- De identiteitsprovider controleert of de gebruiker al is geauthenticeerd. Als de gebruiker is geverifieerd, verleent de identiteitsprovider toegang aan de serviceprovider en gaat hij verder met stap 5.
- Als de gebruiker niet is ingelogd, wordt deze gevraagd om de identiteitsprovider de benodigde gegevens te verstrekken (bijvoorbeeld gebruikersnaam en wachtwoord).
- Nadat de identiteitsprovider de inloggegevens heeft gevalideerd, stuurt deze een token terug naar de serviceprovider, waarmee de succesvolle authenticatie wordt bevestigd.
- Het token wordt via de browser van de gebruiker doorgegeven aan de serviceprovider.
- De serviceprovider valideert het token volgens de vertrouwensrelatie die tijdens de initiële configuratie tot stand is gebracht met de identiteitsprovider.
- Wanneer de gebruiker toegang probeert te krijgen tot een andere website of applicatie binnen het Single Sign-On-systeem, moet de nieuwe website of applicatie een vergelijkbare vertrouwensrelatie hebben die is geconfigureerd met de Single Sign-On-oplossing en volgt de authenticatiestroom dezelfde stappen.
SSO-protocollen
SSO maakt gebruik van verschillende protocollen om de authenticatie- en autorisatieprocessen mogelijk te maken. Twee veelgebruikte protocollen zijn OpenID Connect en SAML 2.0.
- OpenID Connect Connect is gebouwd op OAuth 2.0 en biedt een identiteitslaag voor identificatie en autorisatie. Hiermee kan de identiteitsprovider gebruikersinformatie delen met de serviceprovider zonder de inloggegevens van de gebruiker vrij te geven.
- SAML (Security Assertion Markup Language) is een op XML gebaseerd protocol voor het uitwisselen van authenticatie- en autorisatiegegevens tussen partijen die betrokken zijn bij SSO.
Waarom gebruiken mensen eenmalige aanmelding?
SSO wordt om verschillende redenen veel gebruikt in zowel consumenten- als bedrijfsomgevingen. Een van de belangrijkste redenen waarom mensen het gebruiken, is voor verbeterde beveiliging en naleving. Met SSO hoeven gebruikers slechts één set inloggegevens te onthouden en te beheren, waardoor de kans op zwakke of hergebruikte wachtwoorden kleiner wordt. Dit helpt het risico van wachtwoordgerelateerde hacks en ongeautoriseerde toegang tot gevoelige informatie te verkleinen. Single Sign-On kan organisaties ook helpen om te voldoen aan wettelijke nalevingsvereisten, zoals Sarbanes-Oxley en HIPAA, door effectieve authenticatie, toegangscontroles en audittrail-mogelijkheden te bieden.
Soorten SSO
Er zijn verschillende soorten Single Sign-On-configuraties, waaronder:
#1. Door de serviceprovider geïnitieerde SSO
Hier verifieert de Single Sign-On-serviceprovider (SP) de gebruiker. De gebruiker krijgt een of meer externe identiteitsproviders te zien en na succesvolle authenticatie wordt de gebruiker teruggestuurd naar de applicatie.
#2. Door de identiteitsprovider geïnitieerde SSO
In dit geval is een externe Identity Provider (IdP) verantwoordelijk voor authenticatie. De IdP voert authenticatie en autorisatie uit en na succesvolle authenticatie wordt de gebruiker teruggestuurd naar de applicatie.
Sociale SSO-services zoals Google, LinkedIn en Facebook stellen gebruikers in staat om in te loggen bij applicaties van derden met behulp van hun authenticatiereferenties voor sociale media. Hoewel dit gebruikers gemak biedt, kan het ook veiligheidsrisico's met zich meebrengen.
#4. Enterprise-SSO
Enterprise Single Sign-On (eSSO)-software en -services, zoals Okta en OneLogin, bieden wachtwoordbeheerders die gebruikers aanmelden bij doelapplicaties door gebruikersreferenties opnieuw af te spelen. Dit elimineert de noodzaak voor gebruikers om meerdere wachtwoorden te onthouden.
#5. Business-to-Business (B2B)
Single Sign-On kan het verpakken van applicaties voor bedrijfsgebruik vereenvoudigen. Het ondersteunt algemene scenario's voor bedrijfsfederatie, zoals Active Directory (AD), Lightweight Directory Access Protocol (LDAP), Ping of Security Assertion Markup Language (SAML).
#6. Business to Consumer (B2C) of Customer Identity Access Management (CIAM)
Single Sign-On kan klanten probleemloze toegang tot applicaties of services bieden. Klanten kunnen zich authenticeren via populaire sociale identiteitsproviders zoals Google, Facebook, LinkedIn, Twitter en Microsoft in plaats van voor elke service afzonderlijke accounts te maken.
Wat is SSO in cyberbeveiliging?
SSO kan de cyberbeveiliging op verschillende manieren verbeteren:
- Gecentraliseerde authenticatie: Bij SSO is een gecentraliseerde authenticatieserver verantwoordelijk voor het beheer van de authenticatie. Deze server is verantwoordelijk voor het verifiëren van gebruikersidentiteiten en het verlenen of weigeren van toegang op basis van het toegangscontrolebeleid van de organisatie.
- Sterkere toegangscontrole: Met SSO kunnen organisaties een consistent toegangscontrolebeleid afdwingen voor alle systemen en applicaties. Dit zorgt ervoor dat gebruikers alleen toegang hebben tot de bronnen die ze mogen gebruiken.
- Multi-Factor Authenticatie (MFA): SSO kan worden gecombineerd met MFA om een extra beveiligingslaag te bieden. MFA vereist dat gebruikers meerdere vormen van authenticatie bieden, zoals een wachtwoord en een eenmalige toegangscode die naar hun mobiele apparaat wordt verzonden, waardoor het risico op ongeautoriseerde toegang verder wordt verkleind.
- Gedragsanalyse: Organisaties kunnen gedragsanalyses gebruiken om afwijkende of verdachte activiteiten te detecteren die kunnen wijzen op een gecompromitteerd account.
Wat is een voorbeeld van een SSO?
Voorbeelden van SSO-integratie zijn:
- Google's implementatie voor zijn softwareproducten. Eenmaal ingelogd bij Gmail krijgen gebruikers automatisch toegang tot andere Google-producten zoals YouTube, Google Drive en Google Foto's.
- Facebook's SSO, waarmee gebruikers kunnen inloggen bij applicaties van derden met hun Facebook-inloggegevens
Wat zijn de drie voordelen van SSO?
SSO-integratie biedt verschillende voordelen:
- Gebruikers hoeven slechts één set inloggegevens te onthouden en in te voeren, waardoor wachtwoordmoeheid wordt verminderd en tijd wordt bespaard die wordt besteed aan authenticatie. Dit kan leiden tot verhoogde productiviteit en gebruikerstevredenheid.
- Met SSO kunnen organisaties sterke authenticatiemaatregelen afdwingen, zoals multi-factor authenticatie (MFA), om het risico op ongeautoriseerde toegang te verminderen.
- Single Sign-On stelt organisaties in staat om verdachte activiteiten effectiever te monitoren en te detecteren door gebruikersgedrag over meerdere systemen te volgen.
- Met SSO hoeven applicaties hun authenticatiesystemen niet langer te beheren, waardoor IT-teams minder worden belast. Dit kan leiden tot kostenbesparingen en vereenvoudigde administratie.
- SSO-integratie kan organisaties helpen te voldoen aan wettelijke nalevingsvereisten door veilige toegangscontrole en audittrajecten te bieden
Risico's verbonden aan het gebruik van Single Sign-On
- Het implementeren van Single Sign-On kan tijdrovend en uitdagend zijn, vooral voor applicaties die standaard geen SSO-protocollen ondersteunen.
- Single Sign-On brengt potentiële beveiligingsrisico's met zich mee, zoals het risico van ongeautoriseerde toegang als een gebruiker zijn machine ingelogd laat of het risico van een denial of service-aanval op de centrale authenticatieservice.
- Mogelijk ondersteunen niet alle toepassingen en services dezelfde Single Sign-On-protocollen, waardoor extra configuratie en aanpassing nodig zijn.
- De identiteitsprovider wordt een cruciaal onderdeel van het Single Sign-On-systeem en eventuele problemen met de identiteitsprovider kunnen van invloed zijn op de toegang tot alle geïntegreerde applicaties en services.
Welke technologieën worden gebruikt bij SSO?
Er worden verschillende technologieën en protocollen gebruikt bij SSO-implementaties:
- Kerberos: Op Kerberos gebaseerde installatie gebruikt gebruikersreferenties om tickets voor het verlenen van tickets uit te geven en servicetickets op te halen voor andere applicaties zonder opnieuw te hoeven inloggen.
- Beveiligingsverklaring Markup Language (SAML): SAML is een XML-standaard voor gebruikersauthenticatie en -autorisatie in beveiligde domeinen. Het onderhoudt ook een gebruikerslijst en een serviceprovider.
- SSO op basis van smartcards: SSO op basis van een smartcard vereist dat eindgebruikers een kaart gebruiken voor de eerste keer inloggen zonder dat gebruikersnamen of wachtwoorden opnieuw moeten worden ingevoerd.
- Gefedereerde eenmalige aanmelding: Er ontstaat vertrouwen tussen een Single Sign-On-oplossing en gefedereerde infrastructuurbronnen, waardoor toegang wordt verleend zonder wachtwoordvalidatie. Daarom loggen gebruikers in bij identiteitsproviders, die tokens, tickets of beweringen leveren.
De beste SSO-authenticatiemethode kiezen
De dingen die u moet overwegen voordat u een SSO-authenticatiemethode kiest, zijn:
- Applicatie compatibiliteit: Zorg ervoor dat de SSO-methode compatibel is met geïntegreerde toepassingen, aangezien sommige specifieke methoden kunnen ondersteunen.
- Beveiligingsvereisten: SSO-methoden bieden verschillende beveiligingsniveaus, met Kerberos voor authenticatie van één organisatie en SAML en OAuth voor externe integratie.
- User experience: Houd rekening met de gebruikerservaring bij het kiezen van een SSO-methode. Sommige methoden bieden een soepelere gebruikerservaring door gebruikersauthenticatie toe te staan met behulp van hun bestaande sociale media- of e-mailaccounts.
- Schaalbaarheid en groei: Kies een Single Sign-On-methode om mee te groeien met uw bedrijf en aan te passen aan uw veranderende behoeften. Sommige cloudgebaseerde SSO-oplossingen kunnen beter schaalbaar en eenvoudiger te beheren zijn dan on-premises oplossingen.
Wat is SSO in klantenservice?
Er zijn verschillende manieren om SSO-integratie in de klantenservice te implementeren:
- Interne eenmalige aanmelding: Deze SSO-integratiebenadering omvat het gebruik van een identiteitsprovider binnen het netwerk van de organisatie om gebruikers in meerdere applicaties te authenticeren. De organisatie beheert de Single sign-on infrastructuur en regelt de gebruikerstoegang.
- Externe eenmalige aanmelding: Bij deze aanpak wordt een externe identiteitsprovider gebruikt om gebruikers te authenticeren. Populaire sociale-mediaplatforms zoals Google, LinkedIn, Apple, Twitter en Facebook bieden Single Sign-On-services waarmee gebruikers zich kunnen aanmelden bij applicaties van derden met hun inloggegevens voor sociale media.
Wat is vereist voor SSO-integratie?
Voor SSO-integratie is het cruciaal om rekening te houden met verschillende vereisten en overwegingen. Deze omvatten ondersteuning voor open standaarden, onboarding van gebruikers, echte SSO, beschikbaarheid en noodherstel, mobiele gereedheid, flexibele wachtwoordregels, geavanceerde authenticatie, rapportage, gedragsanalyse, autorisatiebeheer en ondersteuning voor ontwikkelaars.
Veelgebruikte protocollen zoals SAML zouden open standaarden moeten ondersteunen, terwijl onboarding van gebruikers veelgebruikte authenticatiemethoden voor consumenten zou moeten ondersteunen. Echte SSO zou in principe eenmalige aanmelding mogelijk moeten maken, waarbij slechts één gebruikersnaam en wachtwoord nodig zijn om toegang te krijgen tot alle apps/sites.
Beschikbaarheid en noodherstel moeten consistent worden aangetoond. Ook moet mobiele gereedheid worden ondersteund door middel van protocollen zoals SAML en partnerschappen met MDM-leveranciers.
Er moeten flexibele wachtwoordregels worden afgedwongen en er moeten geavanceerde authenticatie-opties beschikbaar zijn, zoals multi-factor of adaptieve op risico gebaseerde authenticatie. Rapportage moet organisaties ook in staat stellen om te voldoen aan nalevingsvereisten en de beveiliging te verbeteren op basis van dreigingsgegevens. Gedragsanalyses kunnen zich intelligent aanpassen aan en reageren op gebruikersgedrag, terwijl autorisatiebeheer moet worden beheerd via integratie met identiteitsproviders.
Bovendien moet ondersteuning voor ontwikkelaars API's en documentatie voor eenmalige aanmelding voor interne applicaties en systemen van derden omvatten. Een goed gedefinieerde roadmap voor identiteits- en toegangsbeheer is essentieel voor een succesvolle implementatie. Het houdt over het algemeen rekening met doelstellingen, gebruikersvereisten, architectuurontwerp, vereisten voor toegangscontrole, verfijning en juiste licenties.
Wat is het verschil tussen SSO en authenticatie?
Single Sign-On en authenticatie zijn verschillende concepten in hun doel en functionaliteit. Authenticatie is het proces waarbij de identiteit van een gebruiker wordt geverifieerd. Tegelijkertijd is Single Sign-On een gecentraliseerde gebruikerssessie en authenticatieservice waarmee gebruikers toegang hebben tot meerdere applicaties of services met een enkele set inloggegevens.
SSO verbetert over het algemeen de gebruikerservaring door de behoefte aan meerdere wachtwoorden en aanmeldingsgegevens voor verschillende toepassingen te verminderen. Het deelt sessie-informatie over verschillende domeinen, op dezelfde manier, en overwint de beperkingen die worden opgelegd door het beleid van dezelfde oorsprong in webbrowsers. Over het algemeen richt het zich op gebruikersgemak door toegang tot meerdere applicaties mogelijk te maken met een enkele set inloggegevens, terwijl authenticatie zich richt op het verifiëren van de identiteit van gebruikers of apparaten.
Ook gebruiken Single Sign-On-oplossingen vaak protocollen zoals SAML of OAuth2/OpenID Connect voor naadloze toegang tot meerdere applicaties, terwijl authenticatie verschillende protocollen en mechanismen kan omvatten, afhankelijk van het systeem.
Gerelateerde artikelen
- IDENTITEITSMANAGEMENTSYSTEEM
- WAT IS BIOMETRISCHE AUTHENTICATIE: definitie, voorbeelden en hoe het werkt?
- Hoe u uw online bedrijf kunt beveiligen tegen cyberdreigingen?
- WAT IS GUI: wat is het en hoe werkt het?
- DIGITAL EXPERIENCE PLATFORM: definitie en beste platforms
Referenties
