Czym jest single sign-on (SSO) i dlaczego ma znaczenie?

SSO w prostych słowach

Single sign-on robi dokładnie to, co sugeruje nazwa. Osoba loguje się raz, a potem przechodzi między wieloma aplikacjami służbowymi, nie logując się ponownie przez resztę dnia.

Kluczowym elementem stojącym za tym jest dostawca tożsamości, często skracany do IdP. Wyobraź sobie dostawcę tożsamości jako recepcję firmy do spraw logowania. Gdy ktoś chce wejść do aplikacji, ta aplikacja sama nie sprawdza hasła. Zwraca się do recepcji z pytaniem: „czy to naprawdę wasz człowiek i czy ma prawo wejść?". Recepcja potwierdza i aplikacja się otwiera. Aplikacja nigdy nie widzi ani nie przechowuje hasła. Ufa recepcji.

Popularni dostawcy tożsamości to Microsoft Entra ID (system logowania wbudowany w Microsoft 365), Google Workspace i dedykowane narzędzia, takie jak Okta czy JumpCloud. Większość średnich europejskich firm już ma jednego z nich, nawet nie myśląc o nim jak o dostawcy tożsamości. Jeśli twoi pracownicy logują się do poczty i dokumentów jednym firmowym kontem, fundament już masz.

Obraz całości wygląda tak: jedna recepcja, jedna tożsamość na osobę i wiele aplikacji, które polegają na tej recepcji, zamiast trzymać własne, osobne klucze.

Dlaczego to ma znaczenie: uzasadnienie biznesowe

Mniej haseł, mniej problemów, jakie hasła powodują

Gdy każda aplikacja ma własne logowanie, ludzie radzą sobie tak, jak zwykle sobie radzą. Powtarzają to samo hasło w różnych narzędziach, zapisują hasła gdzieś albo wybierają słabe, które łatwo zapamiętać. Każdy z tych nawyków to sposób, w jaki konta bywają łamane. Single sign-on usuwa przyczynę. Zamiast dwudziestu słabych haseł rozrzuconych po systemach masz jedno mocne logowanie do ochrony.

Jedno miejsce, żeby dodać dodatkową weryfikację tożsamości

Najbardziej użytecznym ustawieniem bezpieczeństwa w dzisiejszej firmie jest uwierzytelnianie wieloskładnikowe, zwykle skracane do MFA. MFA oznacza, że samo hasło nie wystarczy, żeby się dostać do środka. Osoba musi też udowodnić, że to naprawdę ona, zwykle zatwierdzając powiadomienie na telefonie. Samo skradzione hasło staje się niemal bezużyteczne.

Bez SSO musiałbyś włączać MFA aplikacja po aplikacji, a większość z nich po prostu nigdy by go nie dostała. Z SSO wymagasz MFA raz, na recepcji, i chroni to każdą aplikację za nią. To cichy powód, dla którego SSO ma tak duże znaczenie. Zamienia najlepszą podstawową kontrolę bezpieczeństwa z projektu, którego nigdy nie kończysz, w jedno ustawienie.

Natychmiastowe odcięcie dostępu, gdy ktoś odchodzi

Gdy pracownik albo kontraktor odchodzi, ryzyko nie jest dramatyczne. Jest nudne: konto, o którego zamknięciu nikt nie pamiętał, wciąż sięgające po dane firmowe miesiące później. Dzięki single sign-on wyłączenie jednego konta na recepcji zamyka wejście do wszystkich podłączonych aplikacji naraz, dokładnie tego dnia, kiedy trzeba. Offboarding przestaje być listą kontrolną dwudziestu osobnych logowań i staje się jednym działaniem.

Centralna kontrola i przejrzysty zapis

Ponieważ każde logowanie przechodzi przez jedno miejsce, zyskujesz też jedno miejsce, żeby zobaczyć, kto ma dostęp do czego, i jedno miejsce, żeby ustalać reguły. Dzięki temu audyty, kwestionariusze ubezpieczeniowe i przeglądy bezpieczeństwa u klientów są dużo mniej bolesne, bo odpowiedzi znajdują się w jednym systemie, zamiast być składane z wielu.

Mniej codziennego tarcia

Korzyścią, którą twoi pracownicy faktycznie odczują, jest czas. Koniec z resetowaniem zapomnianych haseł, koniec z szukaniem, które logowanie pasuje do którego narzędzia. Logują się raz i zabierają za pracę. Helpdesk IT spędza mniej czasu na resetowaniu haseł, które są jednym z najczęstszych zgłoszeń w każdej firmie.

Ograniczenia, o których warto wiedzieć

SSO jest mocne, ale to nie magia, i lider powinien rozumieć dwa ograniczenia, zanim uzna problem za rozwiązany.

Wyłączenie logowania to nie to samo, co usunięcie konta

To ograniczenie, na którym potyka się większość firm. Gdy wyłączasz czyjąś tożsamość na recepcji, zamykasz główne wejście. Ta osoba nie może już zalogować się przez SSO. Ale wiele aplikacji wciąż trzyma konto tej osoby w swoim własnym systemie, czasem z osobnym hasłem ustawionym dawno temu, a czasem to konto po cichu trzyma kopię danych firmowych.

Zamknięcie głównego wejścia to większość roboty i jej najpilniejsza część. Pełne usunięcie danej osoby z każdej aplikacji to drugi, powiązany krok. Funkcja, która automatyzuje ten drugi krok, tak żeby tworzenie, aktualizowanie i usuwanie kont działo się automatycznie we wszystkich twoich aplikacjach, nazywa się SCIM. To naturalny partner dla SSO, opisany w przewodniku o cyklu życia konta, do którego link znajdziesz poniżej. Na razie zapamiętaj, że SSO kontroluje drzwi, a osobny mechanizm kontroluje to, co jest za nimi.

Jedna recepcja oznacza, że musisz chronić recepcję

Ponieważ każda aplikacja ufa dostawcy tożsamości, to jedno konto staje się najważniejszym kontem w firmie. Jeśli ktoś włamie się do czyjegoś głównego logowania, potencjalnie zyskuje dostęp do wszystkiego, co to logowanie otwiera. Właśnie dlatego MFA na recepcji jest nienegocjowalne, a garstka kont administracyjnych zarządzających dostawcą tożsamości zasługuje na najsilniejszą ochronę, jaką masz.

SSO tax

Jest tu haczyk handlowy, o którym warto powiedzieć wprost. Część dostawców oprogramowania traktuje możliwość podłączenia swojej aplikacji do twojego SSO jako funkcję premium i pobiera za to sporą dopłatę, często zmuszając cię do przejścia na plan „enterprise". Skoki ceny bywają duże. Publiczne przykłady zebrane przez społecznościowy „SSO Wall of Shame" obejmują wzrosty kilkukrotności ceny bazowej tylko po to, żeby włączyć single sign-on. Praktyka jest na tyle powszechna, że doczekała się nazwy: „SSO tax".

Niebezpieczeństwo nie leży w samym koszcie. Leży w pokusie. Mniejszy zespół, widząc rachunek, decyduje się pominąć SSO dla tej aplikacji i zostać przy osobnym logowaniu, co z powrotem wprowadza dokładnie ten słaby, niezarządzany dostęp, który SSO miało usunąć. Przy wyborze narzędzi uczciwie jest traktować wsparcie SSO w rozsądnej cenie jako kryterium zakupowe, tak samo jak każdą inną niezbędną funkcję.

O co zapytać swojego IT

Nie musisz tego wszystkiego robić sam. Musisz wiedzieć, czy zostało to zrobione. Wystarczy krótka, bezpośrednia rozmowa.

• Czy mamy jednego dostawcę tożsamości i który to jest? Powinieneś dostać jedną jasną odpowiedź, nie listę.
• Czy uwierzytelnianie wieloskładnikowe jest wymagane dla wszystkich, bez wyjątków dla zarządu czy administratorów? Uczciwa odpowiedź to tak albo nie, nie „w większości".
• Gdy ktoś odchodzi, co dokładnie się dzieje i jak szybko? Szukasz zdefiniowanego procesu mierzonego w godzinach albo w ciągu dnia, nie „zajmiemy się tym".
• Które z naszych ważnych aplikacji są podłączone do SSO, a które nie? Zapytaj konkretnie o aplikacje przechowujące wrażliwe dane: finanse, HR, dane klientów.
• Dla aplikacji, które nie są podłączone: czy są pominięte przez SSO tax i jaki jest plan? Dobra odpowiedź nazywa ten kompromis, zamiast przemilczeć lukę.
• Czy automatycznie usuwamy ludzi z aplikacji, gdy odchodzą, czy tylko wyłączamy ich główne logowanie? To rozróżnienie SSO kontra SCIM ujęte w codziennych słowach.

Jak wygląda dobry stan

Zdrowe wdrożenie rozpoznasz bez żadnej wiedzy technicznej. Ma kilka prostych cech:

• Jedna recepcja. Każdy pracownik ma jedną firmową tożsamość, a wszystkie ważne aplikacje przez nią przechodzą.
• Dodatkowa weryfikacja wszędzie. Uwierzytelnianie wieloskładnikowe jest włączone dla wszystkich, łącznie z zarządem i osobami, które zarządzają systemami, bez cichych wyjątków.
• Czyste wyjście. Gdy ktoś odchodzi, jedno działanie zamyka wejście do wszystkich podłączonych aplikacji tego samego dnia, i istnieje zdefiniowany krok, który usuwa też jego konta wewnątrz tych aplikacji.
• Krótka lista wyjątków. Każda ważna aplikacja niepodłączona do SSO jest znana, nazwana i ma powód oraz plan, zamiast zostać zapomniana.
• Chronione klucze do królestwa. Garstka kont administracyjnych zarządzających dostawcą tożsamości ma najsilniejszą ochronę w firmie.

Jeśli twoja firma ma te pięć rzeczy, single sign-on robi swoje. Jeśli ma pierwsze trzy, ale nie ostatnie dwa, masz typową lukę: mocne główne wejście z kilkoma bocznymi drzwiami, których nikt nie pilnuje.

Źródła

• What is Single Sign-On and How SSO Works (Okta) · https://www.okta.com/blog/identity-security/single-sign-on-sso/ (jak działa SSO i dostawca tożsamości; MFA wymuszane w jednym miejscu)
• What is SSO? How single sign-on works (Cloudflare) · https://www.cloudflare.com/learning/access-management/what-is-sso/ (relacja zaufania między aplikacją a dostawcą tożsamości; jedno logowanie do wielu usług)
• What Is a Single Sign-On? SSO Meaning and Security (Proofpoint) · https://www.proofpoint.com/us/threat-reference/single-sign-on-sso (korzyści bezpieczeństwa i ograniczenie związane z koncentracją ryzyka)
• The SSO Wall of Shame (sso.tax) · https://sso.tax/ (dostawcy chowający SSO za planami premium; „SSO tax")
• Explaining the backlash to the SSO tax (1Password) · https://1password.com/blog/explaining-the-backlash-to-the-sso-tax (jak dostawcy wyceniają SSO i dlaczego mniejsze zespoły z niego rezygnują)