SSO a MFA: czy to nie to samo?

Czym naprawdę jest single sign-on (SSO)

Single sign-on to rozwiązanie, w którym jedno logowanie daje dostęp do kilku różnych aplikacji. Logujesz się raz, do centralnej usługi tożsamości, a od tego momentu połączone aplikacje ufają temu logowaniu zamiast za każdym razem pytać o osobny login i hasło.

Znajomą, codzienną wersją jest przycisk „Zaloguj się przez Google" albo „Zaloguj się przez Microsoft", który widać na wielu stronach. Wewnątrz firmy SSO zwykle działa przez dostawcę tożsamości (IdP), na przykład Microsoft Entra ID, Google Workspace albo Okta. Pracownik loguje się do tego dostawcy rano, a jego mail, komunikator, przechowywanie plików, system HR i inne połączone aplikacje otwierają się bez osobnych logowań. NIST opisuje ten rodzaj współdzielenia tożsamości między systemami pod hasłem federacji w swoich wytycznych dotyczących tożsamości cyfrowej (SP 800-63C).

Sens SSO to częściowo wygoda: mniej haseł do zapamiętania, mniej ekranów logowania dziennie. Większą korzyścią dla firmy jest jednak kontrola. Ponieważ dostęp płynie przez jedno centralne konto, zespół IT ma jedno miejsce, żeby włączyć dostęp, kiedy ktoś dołącza, i, co równie ważne, jedno miejsce, żeby go wyłączyć, kiedy ktoś odchodzi. Bez SSO konto pozostawione aktywne w zapomnianej aplikacji może działać miesiącami. Z SSO usunięcie centralnego logowania od razu zamyka połączone drzwi.

SSO odpowiada więc na pytanie o organizację: jak zorganizowane jest logowanie we wszystkich naszych aplikacjach? Samo w sobie SSO nie utrudnia podrobienia logowania. Jeśli ktoś ukradnie to jedno centralne hasło, SSO może wręcz pogorszyć sytuację, bo to jedno hasło otwiera teraz wiele aplikacji zamiast jednej. Właśnie dlatego liczy się kolejny element.

Czym naprawdę jest uwierzytelnianie wieloskładnikowe (MFA)

Uwierzytelnianie wieloskładnikowe wymaga więcej niż jednego odrębnego rodzaju dowodu, zanim wpuści Cię do środka. NIST definiuje je jako system uwierzytelniania, który potrzebuje więcej niż jednego odrębnego czynnika uwierzytelniania, żeby logowanie się powiodło.

Istnieją trzy kategorie czynników:

• Coś, co wiesz, na przykład hasło albo PIN.
• Coś, co masz, na przykład telefon z aplikacją uwierzytelniającą albo mały sprzętowy klucz bezpieczeństwa.
• Coś, czym jesteś, na przykład odcisk palca albo skan twarzy.

Samo hasło to jeden czynnik: coś, co wiesz. MFA oznacza połączenie co najmniej dwóch czynników z różnych kategorii. Typowy przykład to wpisanie hasła (coś, co wiesz), a potem zatwierdzenie powiadomienia na telefonie albo wpisanie kodu (coś, co masz).

Powód, dla którego to ważne, jest prosty. Hasła są nieustannie kradzione, odgadywane, używane wielokrotnie i wyłudzane przez phishing. Jeśli hasło jest jedyną rzeczą stojącą między atakującym a Twoim mailem, wyciekłe albo odgadnięte hasło oznacza włamanie. MFA to zmienia. Nawet mając właściwe hasło, atakujący potrzebuje też drugiego czynnika, którego zwykle nie ma. Dlatego CISA namawia organizacje, żeby włączyły MFA na wszystkich kontach, zwłaszcza na mailu, udostępnianiu plików i dostępie do finansów.

Jedno zastrzeżenie: nie każda forma MFA jest równie mocna. Kody wysyłane SMS-em są lepsze niż nic, ale można je przechwycić albo wyłudzić socjotechnicznie. CISA wskazuje metody odporne na phishing, w szczególności klucze bezpieczeństwa oparte na FIDO i passkeye, jako najbardziej odporne na typowe ataki. Większość systemów SSO już obsługuje te mocniejsze metody.

MFA odpowiada więc na pytanie o siłę: na ile jesteśmy pewni, że osoba, która się loguje, jest naprawdę tą, za którą się podaje?

Jak się ze sobą łączą

Tutaj kryje się źródło pomyłki. SSO i MFA to nie dwie opcje, z których wybierasz jedną. Działają na różnych warstwach, a naturalnym miejscem, w którym się spotykają, jest samo logowanie.

Wyobraź sobie SSO jako główne drzwi budynku, z którego prowadzi wejście do wielu pokoi (Twoich aplikacji). MFA to zamek i sprawdzenie dowodu tożsamości przy tych drzwiach. SSO decyduje, że jest jedno główne wejście zamiast osobnych drzwi do każdego pokoju. MFA decyduje, że przejście przez to wejście wymaga więcej niż jednej formy dowodu.

Po połączeniu obu mechanizmów przebieg wygląda tak. Pracownik loguje się raz do centralnego dostawcy tożsamości. Przy tym logowaniu włącza się MFA: hasło plus drugi czynnik. Kiedy przejdzie tę weryfikację, sesja SSO otwiera połączone aplikacje bez ponownego pytania. Potwierdził swoją tożsamość mocno, jeden raz, przy tych jednych drzwiach, które mają największe znaczenie.

To połączenie jest silniejsze niż każdy z elementów osobno:

• SSO bez MFA koncentruje ryzyko. Jedno hasło otwiera teraz wiele aplikacji, a to jedno hasło jest bezpieczne tylko na tyle, na ile w ogóle może być bezpieczne hasło.
• MFA bez SSO jest bezpieczniejsze w skali pojedynczej aplikacji, ale rozproszone. Każda aplikacja ma własne logowanie i własną konfigurację MFA, co trudniej zarządzać i łatwo zostawić niespójnie. Część aplikacji kończy z mocnym MFA, a część bez żadnego.
• SSO z MFA przy logowaniu daje jeden silny, centralny, dobrze zarządzany punkt wejścia. CISA konkretnie zaleca priorytetowe wdrażanie silnego MFA na systemach pełniących rolę głównych drzwi, w tym portalach SSO, konsolach chmurowych i mailu, bo to one odblokowują najwięcej.

Porównanie w skrócie

• Główny cel · Single sign-on (SSO): Wygoda i centralna kontrola · Uwierzytelnianie wieloskładnikowe (MFA): Bezpieczeństwo i weryfikacja tożsamości
• Na jakie pytanie odpowiada · Single sign-on (SSO): Jak zorganizowane jest logowanie we wszystkich naszych aplikacjach? · Uwierzytelnianie wieloskładnikowe (MFA): Jak mocno weryfikujemy daną osobę?
• Co robi · Single sign-on (SSO): Jedno logowanie otwiera wiele połączonych aplikacji · Uwierzytelnianie wieloskładnikowe (MFA): Wymaga więcej niż jednego rodzaju dowodu przy logowaniu
• Główny mechanizm · Single sign-on (SSO): Centralny dostawca tożsamości, któremu ufają aplikacje · Uwierzytelnianie wieloskładnikowe (MFA): Łączenie czynników: wiesz, masz, jesteś
• Główna korzyść · Single sign-on (SSO): Mniej logowań, jedno miejsce do nadawania i odbierania dostępu · Uwierzytelnianie wieloskładnikowe (MFA): Samo skradzione hasło nie wystarczy, żeby się dostać
• Główna słabość w pojedynkę · Single sign-on (SSO): Jedno skradzione hasło może otworzyć wiele aplikacji · Uwierzytelnianie wieloskładnikowe (MFA): Konfiguracja per aplikacja jest rozproszona i trudna do spójnego zarządzania
• Relacja · Single sign-on (SSO): Decyduje o strukturze logowania · Uwierzytelnianie wieloskładnikowe (MFA): Decyduje o sile logowania
• Najlepiej razem · Single sign-on (SSO): Jedno logowanie, otwierające wiele aplikacji · Uwierzytelnianie wieloskładnikowe (MFA): z silną weryfikacją wymuszoną przy tym logowaniu

Co firma powinna mieć

Dla większości firm praktyczna odpowiedź brzmi: oba, ułożone tak, żeby wzajemnie się wzmacniały.

Rozsądny cel wygląda tak. Przepuść jak najwięcej swoich aplikacji biznesowych przez jednego dostawcę tożsamości, żeby dostęp był nadawany i odbierany w jednym miejscu. Potem wymuś MFA przy logowaniu do tego dostawcy tożsamości, żeby te jedne drzwi, z których korzystają wszyscy, były mocno zweryfikowane. Tam, gdzie aplikacja i dostawca tożsamości to obsługują, wybieraj metody odporne na phishing, takie jak klucze bezpieczeństwa FIDO albo passkeye, zamiast kodów SMS, bo CISA wskazuje je jako najbardziej odporne na typowe ataki.

Jeśli nie możesz zrobić wszystkiego naraz, kolejność dająca najwięcej ochrony na krok jest prosta. Najpierw włącz MFA, zaczynając od kont, które odblokowują najwięcej, czyli zwykle maila, portalu SSO, konsol administracyjnych w chmurze i systemów finansowych. Potem stopniowo obejmuj SSO kolejne aplikacje, żeby dostęp stał się zarządzany centralnie. Silna weryfikacja na najcenniejszych kontach to ruch o wyższej dźwigni, szeroka centralna kontrola to strukturalne usprawnienie, które przychodzi potem.

Błędem, którego trzeba unikać, jest traktowanie jednego jako zamiennika drugiego. Włączenie SSO i poczucie bezpieczeństwa mija się z celem, jeśli nie ma MFA, bo wygoda jednego logowania zamienia się w wygodę jednego skradzionego logowania. Włączanie MFA aplikacja po aplikacji przy ignorowaniu centralnego zarządzania zostawia niespójne pokrycie i brak jednego miejsca, żeby odciąć odchodzącego pracownika. Te dwa mechanizmy rozwiązują różne problemy, a firma, która poważnie traktuje dostęp, chce mieć oba.

Źródła

• Multi-factor authentication · Glossary, NIST CSRC · https://csrc.nist.gov/glossary/term/multi_factor_authentication (definicja MFA i trzech czynników według NIST)
• NIST SP 800-63C, Digital Identity Guidelines: Federation and Assertions · https://pages.nist.gov/800-63-3/sp800-63c.html (federacja i single sign-on między systemami)
• Require Multifactor Authentication, CISA · https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication (wytyczne CISA dotyczące włączenia MFA na wszystkich kontach)
• Implementing Phishing-Resistant MFA, CISA fact sheet · https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf (MFA odporne na phishing, FIDO oraz priorytetowe traktowanie systemów głównych drzwi i SSO)