Единый вход ( SSO ) — это схема аутентификации, которая позволяет пользователю входить с одним идентификатором в любую из нескольких связанных, но независимых программных систем.
Настоящая система единого входа позволяет пользователю войти в систему один раз и получить доступ к службам без повторного ввода факторов аутентификации.
Его не следует путать с одним и тем же входом (аутентификация сервера каталога), часто выполняемая с использованием облегченного протокола доступа к каталогам (LDAP) и хранящихся баз данных LDAP на серверах (каталогов). [1] [2]
Простая версия единого входа может быть реализована в IP-сетях с использованием файлов cookie , но только в том случае, если сайты используют общий родительский домен DNS. [3]
Для ясности проводится различие между проверкой подлинности сервера каталогов (один и тот же вход) и единым входом: проверка подлинности сервера каталогов относится к системам, требующим аутентификации для каждого приложения, но с использованием одних и тех же учетных данных с сервера каталогов, тогда как единый вход относится к к системам, где одна проверка подлинности обеспечивает доступ к нескольким приложениям путем беспрепятственной передачи токена аутентификации настроенным приложениям.
И наоборот, однократный выход или однократный выход ( SLO ) — это свойство, при котором одно действие выхода прекращает доступ к нескольким программным системам.
Поскольку разные приложения и ресурсы поддерживают разные механизмы аутентификации , система единого входа должна хранить внутри себя учетные данные, используемые для начальной аутентификации, и преобразовывать их в учетные данные, необходимые для различных механизмов.
Другие схемы общей аутентификации, такие как OpenID и OpenID Connect , предлагают другие службы, которые могут потребовать от пользователей делать выбор во время входа в ресурс, но могут быть настроены для единого входа, если эти другие службы (например, согласие пользователя) отключены. [4] Все большее число федеративных социальных входов, таких как Facebook Connect , требует от пользователя ввода вариантов согласия при первой регистрации на новом ресурсе, и поэтому не всегда является единым входом в строгом смысле этого слова.
Преимущества использования единого входа включают в себя:
SSO использует централизованные серверы аутентификации , которые все другие приложения и системы используют для целей аутентификации, и сочетает это с методами, гарантирующими, что пользователям не придется активно вводить свои учетные данные более одного раза.
Термин сокращенный вход в систему (RSO) использовался некоторыми, чтобы отразить тот факт, что единый вход в систему непрактичен для удовлетворения потребностей в различных уровнях безопасного доступа на предприятии, и поэтому может потребоваться более одного сервера аутентификации. . [7]
Поскольку единый вход обеспечивает доступ ко многим ресурсам после первоначальной аутентификации пользователя («ключи от замка»), он увеличивает негативное воздействие в случае, если учетные данные доступны другим людям и используются неправильно. Таким образом, единый вход требует повышенного внимания к защите учетных данных пользователя и в идеале должен сочетаться с надежными методами аутентификации, такими как смарт-карты и токены одноразового пароля . [7]
Единый вход также увеличивает зависимость от высокодоступных систем аутентификации; потеря их доступности может привести к отказу в доступе ко всем системам, объединенным в рамках единого входа. SSO можно настроить с возможностью переключения сеанса при отказе для поддержания работы системы. [8] Тем не менее, риск сбоя системы может сделать единый вход нежелательным для систем, доступ к которым должен быть гарантирован в любое время, таких как системы безопасности или производственные системы.
Кроме того, использование методов единого входа с использованием служб социальных сетей, таких как Facebook, может сделать сторонние веб-сайты непригодными для использования в библиотеках, школах или на рабочих местах, которые блокируют сайты социальных сетей по соображениям производительности. Это также может вызвать трудности в странах с активными режимами цензуры , таких как Китай и его « Проект Золотой щит », где сторонний веб-сайт может не подвергаться активной цензуре, но фактически блокируется, если блокируется вход пользователя в социальную сеть. [9] [10]
В марте 2012 года [11] в исследовательской работе сообщалось об обширном исследовании безопасности механизмов входа в социальные сети . Авторы обнаружили 8 серьезных логических ошибок у известных поставщиков идентификаторов и веб-сайтов проверяющих сторон, таких как OpenID (включая Google ID и PayPal Access), Facebook , Janrain , Freelancer , FarmVille и Sears.com . Поскольку исследователи проинформировали поставщиков удостоверений личности и веб-сайты проверяющих сторон до публичного объявления об обнаружении уязвимостей, уязвимости были исправлены, и о нарушениях безопасности не сообщалось. [12]
В мае 2014 года была обнаружена уязвимость под названием Covert Redirect . [13] Впервые об уязвимости скрытого перенаправления, связанной с OAuth 2.0 и OpenID, сообщил ее первооткрыватель Ван Цзин, аспирант математического факультета Наньянского технологического университета в Сингапуре. [14] [15] [16] Фактически, затронуты почти все [ ласковые слова ] протоколы единого входа. Скрытое перенаправление использует преимущества сторонних клиентов, подверженных XSS или открытому перенаправлению. [17]
В декабре 2020 года были обнаружены недостатки в федеративных системах аутентификации, которые использовались злоумышленниками во время утечки данных федерального правительства США в 2020 году . [18] [19]
Из-за того, как работает единый вход, при отправке запроса на веб-сайт, вошедший в систему, для получения токена единого входа и отправке запроса с токеном на веб-сайт, вышедший из системы, токен не может быть защищен с помощью флага cookie HttpOnly и, следовательно, может быть украден злоумышленником, если на веб-сайте, на котором выполнен выход, имеется XSS-уязвимость, с целью перехвата сеанса . Другая проблема безопасности заключается в том, что если сеанс, используемый для единого входа, украден (который можно защитить с помощью флага cookie HttpOnly в отличие от токена единого входа), злоумышленник может получить доступ ко всем веб-сайтам, использующим систему единого входа. [20]
Первоначально реализованная в Kerberos и SAML, система единого входа не давала пользователям выбора относительно публикации их личной информации на каждом новом ресурсе, который посетил пользователь. Это работало достаточно хорошо в рамках одного предприятия, например Массачусетского технологического института, где был изобретен Kerberos, или крупных корпораций, где все ресурсы были внутренними сайтами. Однако по мере распространения федеративных служб, таких как службы федерации Active Directory , личная информация пользователя рассылалась на дочерние сайты, не находящиеся под контролем предприятия, которое собирало данные от пользователя. Поскольку правила конфиденциальности в настоящее время ужесточаются в соответствии с такими законами, как GDPR , новые методы, такие как OpenID Connect, начали становиться более привлекательными; например, MIT, создатель Kerberos, теперь поддерживает OpenID Connect . [21]
Теоретически единый вход может работать без раскрытия идентифицирующей информации, такой как адреса электронной почты, проверяющей стороне (потребителю учетных данных), но многие поставщики учетных данных не позволяют пользователям настраивать, какая информация передается потребителю учетных данных. С 2019 года для входа в Google и Facebook пользователи не требуют сообщать адреса электронной почты потребителю учетных данных. « Вход через Apple », представленный в iOS 13, позволяет пользователю запрашивать уникальный адрес электронной почты каждый раз, когда он регистрируется в новой службе, тем самым снижая вероятность привязки учетной записи потребителем учетных данных. [22]
Среда Windows — при входе в Windows получает TGT. Приложения, поддерживающие Active Directory , извлекают билеты служб, поэтому пользователю не предлагается пройти повторную аутентификацию.
Среда Unix / Linux . Вход через модули Kerberos PAM получает TGT. Клиентские приложения с поддержкой Kerberos, такие как Evolution , Firefox и SVN , используют служебные билеты, поэтому пользователю не предлагается пройти повторную аутентификацию.
При первом входе пользователю предлагается ввести смарт-карту . Дополнительные программные приложения также используют смарт-карту, не запрашивая у пользователя повторного ввода учетных данных. Для единого входа на основе смарт-карты можно использовать сертификаты или пароли, хранящиеся на смарт-карте.
Встроенная проверка подлинности Windows — это термин, связанный спродуктами Microsoft , который относится к протоколам проверки подлинности SPNEGO , Kerberos и NTLMSSP в отношении функциональности SSPI , представленной в Microsoft Windows 2000 и включенной в более поздниеоперационные системы на базе Windows NT . Этот термин чаще всего используется для обозначения автоматически аутентифицированных соединений между Microsoft Internet Information Services и Internet Explorer . Поставщики кросс-платформенной интеграции Active Directory расширили парадигму встроенной проверки подлинности Windows на системы Unix (включая Mac) и Linux.
Язык разметки утверждений безопасности (SAML) — это основанный на XML метод обмена информацией о безопасности пользователя между поставщиком удостоверений SAML и поставщиком услуг SAML . SAML 2.0 поддерживает шифрование XML W3C и обмен данными с единым входом в систему, инициируемый поставщиком услуг. [23] Пользователь, использующий пользовательский агент (обычно веб-браузер), называется субъектом в системе единого входа на основе SAML. Пользователь запрашивает веб-ресурс, защищенный поставщиком услуг SAML. Поставщик услуг, желая узнать личность пользователя, отправляет запрос аутентификации провайдеру идентификации SAML через пользовательский агент. Поставщик удостоверений — это тот, кто предоставляет учетные данные пользователя. Поставщик услуг доверяет пользовательской информации от поставщика удостоверений для предоставления доступа к своим услугам или ресурсам.
Был разработан новый вариант аутентификации с единым входом с использованием мобильных устройств в качестве учетных данных для доступа. Мобильные устройства пользователей могут использоваться для автоматической регистрации их в нескольких системах, таких как системы контроля доступа к зданиям и компьютерные системы, посредством использования методов аутентификации, которые включают OpenID Connect и SAML, [24] в сочетании с X.509. Криптографический сертификат ITU-T , используемый для идентификации мобильного устройства на сервере доступа.
Мобильное устройство — это «то, что у вас есть», в отличие от пароля, который является «чем-то, что вы знаете», или биометрических данных (отпечатков пальцев, сканирования сетчатки, распознавания лиц и т. д.), которые являются «чем-то, чем вы являетесь». Эксперты по безопасности рекомендуют использовать как минимум два из этих трех факторов ( многофакторная аутентификация ) для лучшей защиты.