SSO zapewnia wygodę i centralne zarządzanie dostępem, dlatego najlepiej sprawdza się w firmach. Tradycyjne logowanie, połączone z unikalnymi hasłami i menedżerem haseł, daje z kolei lepszą izolację usług w zastosowaniach prywatnych. W uproszczeniu SSO jest jak jeden klucz do wielu drzwi, a osobne loginy przypominają osobny klucz do każdych drzwi.
SSO i tradycyjne logowanie – najważniejsze różnice
W modelu Single Sign-On logujesz się u jednego dostawcy tożsamości, a następnie uzyskujesz dostęp do wielu aplikacji bez ponownego wpisywania hasła. Systemy korzystające z SSO nie muszą otrzymywać ani przechowywać tego hasła. Zamiast tego ufają potwierdzeniu tożsamości przekazanemu w postaci tokenu.
Tradycyjne logowanie działa niezależnie w każdym serwisie. Każda usługa ma własny login i hasło, więc bezpieczeństwo zależy od tego, czy użytkownik stosuje różne, długie dane logowania. W praktyce tę niedogodność ogranicza menedżer haseł.
| Cecha | SSO | Tradycyjne logowanie |
|---|---|---|
| Bezpieczeństwo haseł | Mniej haseł do zapamiętania i mniejsze ryzyko używania prostych lub powtarzanych haseł | Wymaga unikalnego hasła dla każdej usługi, najlepiej generowanego przez menedżer haseł |
| Wygoda | Jedno uwierzytelnienie otwiera dostęp do wielu aplikacji | Logowanie może być potrzebne osobno w każdym serwisie |
| Punkt awarii (SPOF) | Przejęcie lub niedostępność dostawcy tożsamości może wpłynąć na wiele usług | Problem z jednym kontem zwykle pozostaje ograniczony do jednej usługi |
| Zarządzanie dostępem | Administrator może centralnie nadawać, odbierać i monitorować uprawnienia | Dostęp trzeba zmieniać osobno w poszczególnych usługach |
Jak działa SSO?
Po wejściu do aplikacji użytkownik zostaje przekierowany do dostawcy tożsamości. Tam potwierdza swoją tożsamość, a system przekazuje aplikacji token informujący, że logowanie zakończyło się powodzeniem. Aplikacja nie musi znać hasła użytkownika, ponieważ ufa wcześniej ustalonej relacji między nią a dostawcą tożsamości. W zależności od środowiska stosuje się między innymi OAuth lub SAML.
Token jest czasowym poświadczeniem dostępu, dlatego jego przejęcie może mieć poważne konsekwencje. Atakujący nie musi znać hasła, jeśli zdobędzie aktywny token sesji. Z tego powodu nowoczesne SSO powinno korzystać z wieloskładnikowego uwierzytelniania, czyli MFA. Drugi składnik, na przykład aplikacja uwierzytelniająca, klucz sprzętowy lub biometria, utrudnia przejęcie konta po poznaniu samego hasła.
SSO dobrze odpowiada na potrzeby organizacji, w których pracownicy korzystają z wielu narzędzi. Administrator może szybko odebrać dostęp osobie odchodzącej z firmy, zamiast ręcznie zamykać kilkanaście kont. Korzyści tego modelu nie oznaczają jednak pełnej ochrony. Dostawca tożsamości staje się pojedynczym punktem awarii. Jeśli jego konto administracyjne zostanie przejęte albo usługa przestanie działać, problem może objąć wiele powiązanych aplikacji.
Najważniejsze zalety i ograniczenia SSO można ująć następująco:
- Wygoda – jedno logowanie ogranicza liczbę haseł i przerw w pracy.
- Centralizacja – administrator zarządza kontami i uprawnieniami z jednego miejsca.
- Mniejsze ryzyko słabych haseł – użytkownik nie musi tworzyć wielu haseł zapamiętywanych samodzielnie.
- SPOF – awaria lub przejęcie głównego konta może otworzyć drogę do wielu usług.
Analogia z hotelem dobrze pokazuje zakres zaufania. Karta dostępu może otworzyć pokój, ale nie powinna otwierać sejfu w recepcji. Podobnie token SSO powinien zapewniać dostęp tylko do konkretnych aplikacji i uprawnień, a nie do całego środowiska bez ograniczeń.
Kiedy tradycyjne logowanie jest lepsze?
Tradycyjny model może być rozsądniejszy wtedy, gdy najważniejsza jest izolacja usług, a nie centralne zarządzanie. Jeżeli każde konto ma inne, losowe hasło, włamanie do jednego serwisu nie daje automatycznie dostępu do pozostałych. To ogranicza skutki wycieku bazy danych lub ataku typu credential stuffing, w którym przestępca próbuje używać ujawnionych danych w wielu serwisach.
Ten model wymaga jednak dyscypliny. Używanie jednego hasła w kilku miejscach niweluje izolację i pozwala atakującemu przenosić się między kontami. Menedżer haseł przechowuje osobne dane logowania i może generować długie, przypadkowe hasła, dzięki czemu użytkownik nie musi ich zapamiętywać.
Tradycyjne logowanie ma kilka wyraźnych cech:
- Izolacja usług – przejęcie jednego konta nie musi oznaczać przejęcia pozostałych.
- Brak centralnego celu – nie istnieje jeden dostawca, którego awaria blokuje wszystkie logowania.
- Wymagana dyscyplina – każde konto powinno mieć inne hasło, a najlepiej także MFA.
- Zależność od menedżera haseł – utrata dostępu do jego sejfu może utrudnić logowanie do wielu usług.
Dla użytkownika prywatnego taki układ często jest wystarczający. Warto wtedy zabezpieczyć menedżer haseł silnym hasłem głównym i dodatkowym składnikiem uwierzytelniania. Trzeba też zachować bezpieczną metodę odzyskania dostępu, ponieważ centralny sejf haseł staje się ważnym elementem własnego systemu bezpieczeństwa.
Co wybrać?
W firmie wybór zwykle przemawia za SSO, szczególnie gdy pracownicy korzystają z wielu aplikacji, a administrator potrzebuje szybko kontrolować cykl życia kont i uprawnienia. Warunkiem jest MFA, ograniczenie uprawnień, ochrona kont administracyjnych oraz przygotowanie procedury na awarię dostawcy tożsamości.
W życiu prywatnym tradycyjne logowanie z menedżerem haseł daje większą separację kont i ogranicza zasięg pojedynczego włamania. SSO wygrywa wygodą, ale centralizuje ryzyko. Dlatego decyzja sprowadza się do wyboru między centralną kontrolą i prostotą a izolacją usług i większą niezależnością poszczególnych kont.
