Single Sign-On | |
 | Inhaltsverzeichnis Was ist Single Sign-On?Single Sign-On (SSO), auch Unified sign-on oder Unified login genannt, ermöglicht den Zugriff auf mehrere Anwendungen auf Grundlage einer Anmeldung. Die Formulierung One-time login beschreibt hier die einmalige Anmeldung für mehrere Anwendungen. Abgelaufene Sitzungen oder erhöhte Schutzanforderungen können eine erneute Prüfung erforderlich machen. Die US-Standardisierungsbehörde NIST beschreibt SSO als anwendungsübergreifende Nutzung eines Kontos und seiner Authentisierungsmittel. Bei föderiertem SSO bestätigt ein Identitätsanbieter die Anmeldung gegenüber den angeschlossenen Anwendungen. Zentrale Authentifizierung, auch Centralized authentication genannt, beschreibt die gemeinsame Prüfstelle. Die anwendungsübergreifende Nutzung einer Anmeldung erfordert zusätzlich passende Vertrauensbeziehungen und Sitzungsverfahren. Die zentralen Bausteine von Single Sign-On im Überblick:
Wie funktioniert Single Sign-On?Der folgende Ablauf beschreibt föderiertes SSO. Dabei vertrauen mehrere Anwendungen einem gemeinsamen Identitätsanbieter, dem Identity Provider (IdP), und akzeptieren dessen Anmeldenachweise. Anmeldung: Der IdP prüft das Anmeldemittel des Nutzers. Dafür können Passwörter, Passkeys und weitere Verfahren zum Einsatz kommen. Eine Multifaktor Authentifikation (MFA) kombiniert unabhängige Faktoren. Nachweis: Nach erfolgreicher Prüfung erhält die Anwendung einen Identitätsnachweis, beispielsweise über die Security Assertion Markup Language (SAML) oder OpenID Connect (OIDC). Die Anwendung kontrolliert Aussteller, Empfänger, Gültigkeit und die vorgesehenen Signaturen. Die Standardisierungsorganisation OpenID Foundation beschreibt diese Prüfungen in ihrer OIDC-Spezifikation. Anwendungssitzung: Die Anwendung richtet eine eigene Sitzung ein. Beim Aufruf einer weiteren Anwendung kann der IdP seine bestehende Anmeldung verwenden und einen neuen Nachweis ausstellen. Die Anwendung bestimmt anschließend die zulässigen Zugriffe anhand ihrer Berechtigungsregeln. Erneute Prüfung: Läuft eine Sitzung ab oder verlangt eine Anwendung ein höheres Schutzniveau, ist eine weitere Authentifizierung möglich. SSO garantiert daher keine dauerhaft einmalige Anmeldung. Welche Formen von Single Sign-On gibt es?Die vorhandenen Anwendungen bestimmen die Auswahl geeigneter Anmeldeverfahren. Föderiertes Web-SSO: Anwendungen akzeptieren Anmeldenachweise eines IdP über SAML oder OIDC. Eigene Passwörter für diese Anmeldewege sind dadurch entbehrlich. So können sich Beschäftigte etwa mit ihrem Unternehmenskonto bei einem internen Assistenten mit künstlicher Intelligenz (KI) anmelden. Ticketbasierte Anmeldung: Das Kerberos-Protokoll verwendet zeitlich begrenzte Tickets für Zugriffe auf Dienste. Die Internet Engineering Task Force (IETF) beschreibt die beteiligten Instanzen und Prüfungen in ihrer Kerberos-Spezifikation. Ein Ticket ermöglicht die Bestätigung der Identität gegenüber dem vorgesehenen Dienst. Passwortbasiertes SSO: Eine vermittelnde Komponente stellt gespeicherte Zugangsdaten für Anwendungen bereit. Diese prüfen weiterhin eigene Passwörter. Das kann ältere Anwendungen einbinden, bietet jedoch andere Sicherheitseigenschaften als föderiertes SSO.
Die gemeinsame Anmeldung erleichtert zentrale Kontrollen und erhöht zugleich den Schutzbedarf der beteiligten Infrastruktur. Absicherung der Anmeldung: Phishing-resistente MFA erschwert die Übernahme des zentralen Zugangs. Die US-Cyber-Sicherheitsbehörde CISA und die US-Sicherheitsbehörde National Security Agency (NSA) empfehlen starke Anmeldeverfahren insbesondere für Zugriffe mit erhöhtem Schutzbedarf. Eine allgemeine MFA-Pflicht folgt aus dem Begriff SSO allein nicht. Kontosperre und Sitzungen: Eine Kontosperre beim IdP kann neue Anmeldungen verhindern, während bestehende Anwendungssitzungen eigene Ablauf- oder Widerrufsmechanismen benötigen. NIST unterscheidet diese Sitzungen ausdrücklich in seinem Föderationsleitfaden. Ebenso erfordert das Entfernen lokaler Anwendungskonten einen geregelten Verwaltungsprozess. Schutz der Nachweise: Gestohlene Sitzungscookies oder manipulierte Anmeldenachweise können Zugriffe trotz vorheriger MFA ermöglichen. Sitzungscookies enthalten Informationen, mit denen eine Anwendung Anfragen einer bestehenden Sitzung zuordnet. Endgeräteschutz, vollständige Nachrichtenprüfung und geschützte Signaturschlüssel gehören deshalb zur Absicherung. Zero Trust: SSO kann die zentrale Authentifizierung in einer Zero-Trust-Architektur unterstützen. Diese Architektur prüft Zugriffe auf einzelne Ressourcen anhand von Identität, Berechtigungen, Gerätezustand und weiteren Kontextinformationen und bewertet sie während der Nutzung erneut. NIST erläutert diese Grundsätze in seinem Zero-Trust-Leitfaden. SSO, Passwort-Manager und Föderation: Wo liegen die Unterschiede?Ein Passwort-Manager verwaltet Zugangsdaten und unterstützt ihre Eingabe. Jede Anwendung kann dabei eine eigene Passwortprüfung durchführen. Föderiertes SSO verwendet dagegen einen anerkannten Identitätsnachweis. Passwortbasiertes SSO vermittelt weiterhin einzelne Zugangsdaten, sodass sich die Funktionen teilweise mit einer Passwortverwaltung überschneiden. Das für föderiertes SSO eingesetzte OIDC ergänzt OAuth 2.0 um die Authentifizierung von Nutzern. OAuth 2.0 selbst ermöglicht einer Anwendung begrenzten Zugriff auf geschützte Ressourcen. Identitätsföderation, auf Englisch Identity federation, regelt den Austausch und die Anerkennung von Identitätsinformationen zwischen Beteiligten. Eine föderierte Identität, auf Englisch Federated identity, ermöglicht die Nutzung von Identitätsnachweisen bei mehreren verbundenen Diensten. Die Föderation ermöglicht organisationsübergreifendes SSO. Identity and Access Management (IAM) umfasst zusätzlich die Einrichtung, Änderung und Löschung von Identitäten und Berechtigungen. SSO übernimmt diese Verwaltungsaufgaben nicht vollständig. Auch Zugriffe eines KI-Agenten auf Werkzeuge benötigen eigene Berechtigungsentscheidungen. Vorteile von Single Sign-On, Risiken & Herausforderungen
|
| |
