Inicio de sesión único

El inicio de sesión único ( SSO, por sus siglas en inglés) es un esquema de autenticación que permite a un usuario iniciar sesión con una sola identificación en cualquiera de varios sistemas de software relacionados, pero independientes.

El inicio de sesión único real permite al usuario iniciar sesión una sola vez y acceder a los servicios sin tener que volver a introducir los factores de autenticación.

No debe confundirse con el inicio de sesión único (autenticación de servidor de directorio), que a menudo se logra mediante el uso del Protocolo ligero de acceso a directorios (LDAP) y bases de datos LDAP almacenadas en servidores (de directorio). ^{[ 1 ] [ 2 ]}

Se puede lograr una versión simple de inicio de sesión único a través de redes IP utilizando cookies , pero solo si los sitios comparten un dominio padre DNS común. ^{[ 3 ]}

Para mayor claridad, se distingue entre la autenticación del servidor de directorios (inicio de sesión único) y el inicio de sesión único: la autenticación del servidor de directorios se refiere a los sistemas que requieren autenticación para cada aplicación, pero que utilizan las mismas credenciales de un servidor de directorios, mientras que el inicio de sesión único se refiere a los sistemas en los que una única autenticación proporciona acceso a múltiples aplicaciones al pasar el token de autenticación sin problemas a las aplicaciones configuradas.

Por el contrario, el cierre de sesión único ( SLO , por sus siglas en inglés ) es la propiedad mediante la cual una sola acción de cerrar sesión finaliza el acceso a múltiples sistemas de software.

Dado que las distintas aplicaciones y recursos admiten diferentes mecanismos de autenticación , el inicio de sesión único debe almacenar internamente las credenciales utilizadas para la autenticación inicial y traducirlas a las credenciales requeridas por los diferentes mecanismos.

Otros esquemas de autenticación compartida, como OpenID y OpenID Connect, ofrecen servicios adicionales que pueden requerir que los usuarios tomen decisiones al iniciar sesión en un recurso, pero pueden configurarse para el inicio de sesión único si se desactivan dichos servicios (como el consentimiento del usuario). Un número creciente de inicios de sesión sociales federados, como Facebook Connect, sí requieren que el usuario ingrese sus preferencias de consentimiento al registrarse por primera vez en un nuevo recurso, por lo que no siempre constituyen un inicio de sesión único en el sentido más estricto.

Entre las ventajas de utilizar el inicio de sesión único se incluyen:

• Mitigar el riesgo de acceso a sitios de terceros ("autenticación federada") ^{[ 4 ]} porque las contraseñas de los usuarios no se almacenan ni se gestionan externamente.
• Reduce la fatiga por contraseñas derivada de las diferentes combinaciones de nombre de usuario y contraseña.
• Reducir el tiempo dedicado a volver a introducir contraseñas para la misma identidad ^{[ 4 ]}
• Reducción de los costos de TI debido a un menor número de llamadas al servicio de asistencia técnica de TI sobre contraseñas ^{[ 5 ]}

El inicio de sesión único (SSO) comparte servidores de autenticación centralizados que todas las demás aplicaciones y sistemas utilizan para fines de autenticación, y combina esto con técnicas para garantizar que los usuarios no tengan que introducir activamente sus credenciales más de una vez.

Algunos han utilizado el término inicio de sesión reducido (RSO, por sus siglas en inglés ) para reflejar el hecho de que el inicio de sesión único no es práctico para abordar la necesidad de diferentes niveles de acceso seguro en la empresa, y como tal, puede ser necesario más de un servidor de autenticación. ^{[ 6 ]}

Dado que el inicio de sesión único proporciona acceso a muchos recursos una vez que el usuario se autentica inicialmente ("llaves del castillo"), aumenta el impacto negativo en caso de que las credenciales estén disponibles para otras personas y se utilicen indebidamente. Por lo tanto, el inicio de sesión único requiere una mayor atención a la protección de las credenciales del usuario y, idealmente, debería combinarse con métodos de autenticación robustos como tarjetas inteligentes y tokens de contraseña de un solo uso . ^{[ 6 ]}

El inicio de sesión único también aumenta la dependencia de sistemas de autenticación de alta disponibilidad; una pérdida de su disponibilidad puede resultar en la denegación de acceso a todos los sistemas unificados bajo el SSO. El SSO se puede configurar con capacidades de conmutación por error de sesión para mantener el funcionamiento del sistema. ^{[ 7 ]} No obstante, el riesgo de fallo del sistema puede hacer que el inicio de sesión único no sea deseable para sistemas cuyo acceso debe garantizarse en todo momento, como los sistemas de seguridad o los sistemas de planta.

Además, el uso de técnicas de inicio de sesión único que utilizan servicios de redes sociales como Facebook puede hacer que los sitios web de terceros sean inutilizables en bibliotecas, escuelas o lugares de trabajo que bloquean las redes sociales por motivos de productividad. También puede causar dificultades en países con regímenes de censura activa , como China y su " Proyecto Escudo Dorado ", donde el sitio web de terceros puede no estar censurado activamente, pero queda bloqueado de hecho si se bloquea el inicio de sesión social del usuario. ^{[ 8 ] [ 9 ]}

En marzo de 2012, ^{[ 10 ]} un artículo de investigación informó sobre un estudio exhaustivo acerca de la seguridad de los mecanismos de inicio de sesión social . Los autores encontraron 8 fallas lógicas graves en proveedores de identidad de alto perfil y sitios web de terceros, como OpenID (incluidos Google ID y PayPal Access), Facebook , Janrain , Freelancer , FarmVille y Sears.com . Debido a que los investigadores informaron a los proveedores de identidad y a los sitios web de terceros antes del anuncio público del descubrimiento de las fallas, las vulnerabilidades se corrigieron y no se han reportado brechas de seguridad. ^{[ 11 ]}

En mayo de 2014, se reveló una vulnerabilidad llamada Covert Redirect . ^{[ 12 ]} Fue reportada por primera vez como "Vulnerabilidad de Covert Redirect relacionada con OAuth 2.0 y OpenID" por su descubridor Wang Jing, un estudiante de doctorado en matemáticas de la Universidad Tecnológica de Nanyang , Singapur. ^{[ 13 ] [ 14 ] [ 15 ]} De hecho, casi todos los protocolos de inicio de sesión único se ven afectados. Covert Redirect se aprovecha de clientes de terceros susceptibles a secuencias de comandos entre sitios (XSS) o redireccionamiento abierto . ^{[ 16 ]}

En diciembre de 2020, se descubrió que los atacantes habían utilizado fallos en los sistemas de autenticación federada durante la filtración de datos del gobierno federal de Estados Unidos de 2020. ^{[ 17 ] [ 18 ]}

Debido a cómo funciona el inicio de sesión único (SSO), al enviar una solicitud al sitio web donde se ha iniciado sesión para obtener un token SSO y luego enviar una solicitud con dicho token al sitio web donde no se ha iniciado sesión, el token no puede protegerse con la cookie HttpOnly y, por lo tanto, un atacante puede robarlo si existe una vulnerabilidad XSS en el sitio web donde no se ha iniciado sesión, con el fin de realizar un secuestro de sesión . Otro problema de seguridad es que si se roba la sesión utilizada para el SSO (que sí puede protegerse con la cookie HttpOnly, a diferencia del token SSO), el atacante puede acceder a todos los sitios web que utilizan el sistema SSO.

Tal como se implementó originalmente en Kerberos y SAML , el inicio de sesión único no ofrecía a los usuarios ninguna opción sobre la divulgación de su información personal a cada nuevo recurso que visitaban. Esto funcionaba bastante bien dentro de una sola empresa, como el MIT, donde se inventó Kerberos, o grandes corporaciones donde todos los recursos eran sitios internos. Sin embargo, a medida que proliferaron los servicios federados como Active Directory Federation Services , la información privada del usuario se enviaba a sitios afiliados que no estaban bajo el control de la empresa que recopilaba los datos del usuario. Dado que las regulaciones de privacidad se están volviendo más estrictas con leyes como el RGPD , los métodos más recientes como OpenID Connect han comenzado a ser más atractivos; por ejemplo, el MIT, el creador de Kerberos, ahora admite OpenID Connect . ^{[ 19 ]}

• secuestro previo de cuentas
• Servicio de autenticación central
• Gestión de identidades
• Sistemas de gestión de identidades
• Lista de implementaciones de inicio de sesión único
• gestor de contraseñas
• Lenguaje de marcado de aserciones de seguridad
• Usabilidad de los sistemas de autenticación web

• Introducción al inicio de sesión único con diagramas