In breve: Il Single Sign-On permette di accedere a più servizi con una sola autenticazione. L'utente inserisce le credenziali una volta sola.
Che cos'è il Single Sign-On
Il Single Sign-On è un sistema di autenticazione centralizzato. Permette di entrare in più applicazioni con un solo login.
Immagina di usare l'account scolastico. Con quello stesso accesso apri la posta, il registro e il drive. Non devi ricordare password diverse per ogni servizio.
Il vantaggio principale è la semplicità per l'utente. Si riduce anche il rischio di password deboli o ripetute.
Come funziona
Nel SSO esistono tre attori principali. C'è l'utente, c'è il servizio richiesto e c'è il fornitore di identità.
Il fornitore di identità si chiama Identity Provider (IdP). È il sistema che custodisce e verifica le credenziali.
Il flusso tipico segue questi passaggi:
- L'utente chiede di accedere a un'applicazione.
- L'applicazione lo reindirizza all'Identity Provider.
- L'utente inserisce username e password sull'IdP.
- L'IdP verifica l'identità e rilascia un token di accesso.
- L'applicazione accetta il token e apre la sessione.
Quando l'utente apre un altro servizio collegato, il token viene riutilizzato. Non serve un nuovo login fino alla scadenza della sessione.
Tecniche e protocolli usati
Esistono diversi protocolli per realizzare il SSO. I più diffusi in ambito aziendale e web sono tre.
SAML è uno standard basato su XML. Viene usato spesso tra aziende e servizi web istituzionali.
OAuth 2.0 è un protocollo di autorizzazione. Permette a un servizio di accedere a dati di un altro servizio senza condividere la password.
OpenID Connect è costruito sopra OAuth 2.0. Aggiunge la parte di autenticazione dell'identità dell'utente.
In ambienti Windows aziendali si usa anche Kerberos. È un protocollo che scambia ticket cifrati per provare l'identità.
Esempi pratici
Pensa al login con Google su un sito esterno. Clicchi "Accedi con Google" e usi il tuo account Gmail.
In una scuola con account Microsoft, entri una volta sola. Poi accedi a Teams, OneDrive e Outlook senza nuove password.
In azienda, un dipendente apre il PC al mattino. Da quel momento accede a posta, gestionale e cloud senza ripetere il login.
Vantaggi e rischi
I principali vantaggi sono comodità, meno password da ricordare e gestione centralizzata. L'amministratore può bloccare un utente in un solo punto.
Il rischio maggiore riguarda la sicurezza dell'account unico. Se le credenziali vengono rubate, l'attaccante entra in tutti i servizi collegati.
Per questo il SSO viene quasi sempre abbinato all'autenticazione a più fattori (MFA).
Parole difficili
- Autenticazione: procedura per verificare l'identità di chi chiede accesso.
- Credenziali: dati usati per accedere, di solito username e password.
- Token: codice digitale temporaneo che prova l'avvenuta autenticazione.
- Identity Provider: servizio che gestisce e verifica le identità degli utenti.
- Protocollo: insieme di regole standard per far comunicare due sistemi.
- MFA: autenticazione con più fattori, ad esempio password più codice sul telefono.
Riferimenti
- Norma: Norme generali e livelli essenziali delle prestazioni relativi al secondo ciclo del sistema educativo di istruzione e formazione
- Obiettivo formativo coperto: ob.iefp-tecnico-informatico.competenze-tecnico-professionali.cl3.sicurezza-informazione.28