El inicio de sesión único ( SSO ) es un esquema de autenticación que permite a un usuario iniciar sesión con una única identificación en cualquiera de varios sistemas de software relacionados, aunque independientes.
El verdadero inicio de sesión único permite al usuario iniciar sesión una vez y acceder a los servicios sin volver a ingresar factores de autenticación.
No debe confundirse con el mismo inicio de sesión (autenticación del servidor de directorio), que a menudo se logra mediante el uso del protocolo ligero de acceso a directorios (LDAP) y bases de datos LDAP almacenadas en servidores (de directorio). [1] [2]
Se puede lograr una versión simple del inicio de sesión único a través de redes IP utilizando cookies , pero solo si los sitios comparten un dominio principal DNS común. [3]
Para mayor claridad, se hace una distinción entre autenticación de servidor de directorio (mismo inicio de sesión) e inicio de sesión único: la autenticación de servidor de directorio se refiere a sistemas que requieren autenticación para cada aplicación pero que utilizan las mismas credenciales de un servidor de directorio, mientras que el inicio de sesión único se refiere a sistemas donde una única autenticación proporciona acceso a múltiples aplicaciones al pasar el token de autenticación sin problemas a las aplicaciones configuradas.
Por el contrario, el cierre de sesión único o el cierre de sesión único ( SLO ) es la propiedad por la cual una sola acción de cerrar sesión finaliza el acceso a múltiples sistemas de software.
Dado que diferentes aplicaciones y recursos admiten diferentes mecanismos de autenticación , el inicio de sesión único debe almacenar internamente las credenciales utilizadas para la autenticación inicial y traducirlas a las credenciales requeridas para los diferentes mecanismos.
Otros esquemas de autenticación compartida, como OpenID y OpenID Connect , ofrecen otros servicios que pueden requerir que los usuarios tomen decisiones durante el inicio de sesión en un recurso, pero se pueden configurar para el inicio de sesión único si esos otros servicios (como el consentimiento del usuario) se desactivan. [4] Un número cada vez mayor de inicios de sesión sociales federados, como Facebook Connect , requieren que el usuario ingrese opciones de consentimiento al registrarse por primera vez en un nuevo recurso y, por lo tanto, no siempre son un inicio de sesión único en el sentido más estricto.
Los beneficios de utilizar el inicio de sesión único incluyen:
SSO comparte servidores de autenticación centralizados que todas las demás aplicaciones y sistemas utilizan con fines de autenticación y combina esto con técnicas para garantizar que los usuarios no tengan que ingresar activamente sus credenciales más de una vez.
Algunos han utilizado el término inicio de sesión reducido (RSO) para reflejar el hecho de que el inicio de sesión único no es práctico para abordar la necesidad de diferentes niveles de acceso seguro en la empresa y, como tal, puede ser necesario más de un servidor de autenticación. . [7]
Como el inicio de sesión único proporciona acceso a muchos recursos una vez que el usuario se autentica inicialmente ("llaves del castillo"), aumenta el impacto negativo en caso de que las credenciales estén disponibles para otras personas y se utilicen indebidamente. Por lo tanto, el inicio de sesión único requiere una mayor atención a la protección de las credenciales del usuario y, idealmente, debería combinarse con métodos de autenticación sólidos, como tarjetas inteligentes y tokens de contraseña de un solo uso . [7]
El inicio de sesión único también aumenta la dependencia de sistemas de autenticación de alta disponibilidad; una pérdida de su disponibilidad puede resultar en la denegación de acceso a todos los sistemas unificados bajo el SSO. SSO se puede configurar con capacidades de conmutación por error de sesión para mantener el funcionamiento del sistema. [8] No obstante, el riesgo de fallo del sistema puede hacer que el inicio de sesión único sea indeseable para sistemas a los que se debe garantizar el acceso en todo momento, como los sistemas de seguridad o de planta.
Además, el uso de técnicas de inicio de sesión único que utilizan servicios de redes sociales como Facebook puede inutilizar sitios web de terceros en bibliotecas, escuelas o lugares de trabajo que bloquean sitios de redes sociales por motivos de productividad. También puede causar dificultades en países con regímenes de censura activos , como China y su " Proyecto Escudo Dorado ", donde el sitio web de terceros puede no ser censurado activamente, pero se bloquea efectivamente si se bloquea el inicio de sesión social de un usuario. [9] [10]
En marzo de 2012, [11] un artículo de investigación informó sobre un extenso estudio sobre la seguridad de los mecanismos de inicio de sesión social . Los autores encontraron ocho fallas lógicas graves en proveedores de identificación de alto perfil y sitios web de terceros, como OpenID (incluidos Google ID y PayPal Access), Facebook , Janrain , Freelancer , FarmVille y Sears.com . Debido a que los investigadores informaron a los proveedores de identificación y a los sitios web de terceros antes del anuncio público del descubrimiento de las fallas, las vulnerabilidades se corrigieron y no se reportaron violaciones de seguridad. [12]
En mayo de 2014, se reveló una vulnerabilidad denominada Covert Redirect . [13] Su descubridor Wang Jing, estudiante de doctorado en matemáticas de la Universidad Tecnológica de Nanyang , Singapur, informó por primera vez sobre "Vulnerabilidad de redireccionamiento encubierto relacionada con OAuth 2.0 y OpenID". [14] [15] [16] De hecho, casi todos los [ palabras de comadreja ] los protocolos de inicio de sesión único se ven afectados. Covert Redirect aprovecha los clientes de terceros susceptibles a un XSS o Open Redirect. [17]
En diciembre de 2020, se descubrió que los atacantes habían utilizado fallas en los sistemas de autenticación federados durante la violación de datos del gobierno federal de los Estados Unidos de 2020 . [18] [19]
Debido a cómo funciona el inicio de sesión único, al enviar una solicitud al sitio web en el que se ha iniciado sesión para obtener un token de SSO y al enviar una solicitud con el token al sitio web en el que se ha cerrado la sesión, el token no se puede proteger con el indicador de cookie HttpOnly y, por lo tanto, Un atacante puede robarlo si hay una vulnerabilidad XSS en el sitio web en el que se cerró la sesión para poder secuestrar la sesión . Otro problema de seguridad es que si se roba la sesión utilizada para SSO (que puede protegerse con el indicador de cookie HttpOnly a diferencia del token SSO), el atacante puede acceder a todos los sitios web que utilizan el sistema SSO. [20]
Tal como se implementó originalmente en Kerberos y SAML, el inicio de sesión único no brindaba a los usuarios ninguna opción sobre la divulgación de su información personal a cada nuevo recurso que visitaban. Esto funcionó bastante bien dentro de una sola empresa, como el MIT, donde se inventó Kerberos, o grandes corporaciones donde todos los recursos eran sitios internos. Sin embargo, a medida que proliferaron los servicios federados como los Servicios de Federación de Active Directory , la información privada del usuario se envió a sitios afiliados que no estaban bajo el control de la empresa que recopiló los datos del usuario. Dado que las regulaciones de privacidad se están volviendo más estrictas con legislaciones como el GDPR , los métodos más nuevos como OpenID Connect han comenzado a volverse más atractivos; por ejemplo, el MIT, el creador de Kerberos, ahora admite OpenID Connect . [21]
En teoría, el inicio de sesión único puede funcionar sin revelar información de identificación, como direcciones de correo electrónico, a la parte que confía (consumidor de credenciales), pero muchos proveedores de credenciales no permiten a los usuarios configurar qué información se transmite al consumidor de credenciales. A partir de 2019, el inicio de sesión de Google y Facebook no requiere que los usuarios compartan direcciones de correo electrónico con el consumidor de credenciales. " Iniciar sesión con Apple " introducido en iOS 13 permite a un usuario solicitar una dirección de correo electrónico de retransmisión única cada vez que se registra en un nuevo servicio, lo que reduce la probabilidad de que el consumidor de credenciales vincule la cuenta. [22]
Entorno de Windows : el inicio de sesión de Windows recupera TGT. Las aplicaciones compatibles con Active Directory obtienen tickets de servicio, por lo que no se solicita al usuario que se vuelva a autenticar.
Entorno Unix / Linux : el inicio de sesión a través de los módulos Kerberos PAM recupera TGT. Las aplicaciones cliente Kerberizadas como Evolution , Firefox y SVN utilizan tickets de servicio, por lo que no se solicita al usuario que se vuelva a autenticar.
El inicio de sesión inicial solicita al usuario la tarjeta inteligente . Aplicaciones de software adicionales también utilizan la tarjeta inteligente, sin solicitar al usuario que vuelva a ingresar las credenciales. El inicio de sesión único basado en tarjeta inteligente puede utilizar certificados o contraseñas almacenadas en la tarjeta inteligente.
La autenticación integrada de Windows es un término asociado con los productos de Microsoft y se refiere a los protocolos de autenticación SPNEGO , Kerberos y NTLMSSP con respecto a la funcionalidad SSPI introducida con Microsoft Windows 2000 e incluida ensistemas operativos posteriores basados en Windows NT . El término se utiliza más comúnmente para referirse a las conexiones autenticadas automáticamente entre Microsoft Internet Information Services e Internet Explorer .multiplataforma de Active Directory han ampliado el paradigma de autenticación integrada de Windows a los sistemas Unix (incluido Mac) y Linux.
El lenguaje de marcado de aserción de seguridad (SAML) es un método basado en XML para intercambiar información de seguridad del usuario entre un proveedor de identidad SAML y un proveedor de servicios SAML . SAML 2.0 admite el cifrado XML W3C y los intercambios de inicio de sesión único del navegador web iniciados por el proveedor de servicios. [23] Un usuario que utiliza un agente de usuario (normalmente un navegador web) se denomina sujeto en el inicio de sesión único basado en SAML. El usuario solicita un recurso web protegido por un proveedor de servicios SAML. El proveedor de servicios, que desea conocer la identidad del usuario, emite una solicitud de autenticación a un proveedor de identidad SAML a través del agente de usuario. El proveedor de identidad es el que proporciona las credenciales del usuario. El proveedor de servicios confía en la información del usuario del proveedor de identidad para proporcionar acceso a sus servicios o recursos.
Se ha desarrollado una variación más nueva de autenticación de inicio de sesión único que utiliza dispositivos móviles como credenciales de acceso. Los dispositivos móviles de los usuarios se pueden utilizar para iniciar sesión automáticamente en múltiples sistemas, como sistemas de control de acceso a edificios y sistemas informáticos, mediante el uso de métodos de autenticación que incluyen OpenID Connect y SAML, [24] junto con un X.509. Certificado de criptografía ITU-T utilizado para identificar el dispositivo móvil ante un servidor de acceso.
Un dispositivo móvil es "algo que tienes", a diferencia de una contraseña que es "algo que sabes" o la biometría (huella digital, escaneo de retina, reconocimiento facial, etc.) que es "algo que eres". Los expertos en seguridad recomiendan utilizar al menos dos de estos tres factores ( autenticación multifactor ) para una mejor protección.