Single Sign-On

Single Sign-On

Single Sign-on (engl. single sign-on)(kurz SSO, mitunter als „Einmalanmeldung“ übersetzt) bedeutet, dass ein Benutzer nach einer einmaligen Authentifizierung auf alle Rechner und Dienste, für die er berechtigt ist, zugreifen kann, ohne sich jedes Mal neu anmelden zu müssen.

Gerade im Hinblick auf heutige Portale wird diese Möglichkeit aus Anwendersicht vorausgesetzt. Innerhalb von Portalen ist es auch möglich, dass die Identität des angemeldeten Benutzers an die das Portal konstituierenden Sichten weitervererbt wird, ohne dass dies der Sicht des Anwenders selbst bekannt gemacht worden wäre. Ein Benutzer besitzt immer genau eine einzige Identität wie in der realen Welt. Innerhalb eines Systems kann er aber unter verschiedenen Benutzern gespeichert sein. Ziel des Single Sign-ons ist es, dass sich der Benutzer nur einmal unter Zuhilfenahme eines Authentifizierungsverfahrens (z.B. durch Kennworteingabe) identifiziert. Danach übernimmt der SSO-Mechanismus die Aufgabe, den Anwender zu identifizieren. Eine weitere Anforderung an das Single Sign-on ist, dass es nicht schwächer sein darf als das Authentifizierungsverfahren selbst.

Inhaltsverzeichnis

Vor- und Nachteile des Single Sign-ons

Vorteile

  • Zeitersparnis, da nur noch eine einzige Authentifizierung notwendig ist, um auf alle Systeme zugreifen zu können
  • Sicherheitsgewinn, da das Passwort nur einmal übertragen werden muss
  • Sicherheitsgewinn, da beim Entfernen/Aktualisieren eines Nutzers lediglich ein Benutzerkonto betrachtet werden muss
  • Sicherheitsgewinn, da sich der Nutzer anstelle einer Vielzahl meist unsicherer Passwörter nur noch eines merken muss. Somit kann dieses eine Passwort dafür komplex und sicher gewählt werden
  • Phishing-Attacken werden erschwert, da Benutzer UserID und Passwort nur an einer einzigen Stelle eingeben müssen und nicht mehr an zahlreichen, verstreuten Stellen. Diese eine Stelle kann leichter auf Korrektheit (URL, SSL-Serverzertifikat, etc.) überprüft werden.
  • Es wird Bewusstsein geschaffen, wo man guten Gewissens UserID und Passwort eingeben kann. Benutzer eines Single Sign-ons werden schwerer dazu verleitet, fremden Seiten ihr (möglicherweise gemeinsam benutztes) Passwort anzuvertrauen.

Nachteile

  • Kann ein Angreifer die Identität eines Benutzers entwenden, so stehen ihm sofort alle Systeme, auf die dieser Benutzer Zugriff hat, zur Verfügung. Dies ist nur ein Nachteil, sofern der Benutzer nicht ohnehin dasselbe Passwort für die meisten Dienste benutzt.
  • Ein Provider, der ausschließlich Single Sign-on benutzt, könnte potenzielle Kunden verlieren, welche das verwendete System nicht akzeptieren.
  • Die Verfügbarkeit des Dienstes hängt nicht nur von der eigenen Verfügbarkeit sondern auch von der Verfügbarkeit des Single-Sign-on-Systems ab.

Lösungsansätze

Drei Lösungsansätze für Single Sign-on. Links: Benutzer loggt sich auf einem Portal ein und bekommt Zugriff auf alle eingebundenen Dienste. Rechts: Benutzer loggt sich bei einem der Dienste an und bekommt ein Ticket für den gesamten 'Kreis der Vertrauten'. Mitte: Der Benutzer speichert alle Logins auf einem Datenträger oder im Netzwerk. Ein lokales Programm loggt ihn separat bei jedem Dienst, Portal oder Ticketing-System ein.

Portallösung

Der Benutzer kann sich auf einem Portal erstmals einloggen und wird dort authentifiziert und grob autorisiert. D. h. er bekommt ein Merkmal, das ihn gegenüber den innerhalb des Portals integrierten Anwendungen eindeutig ausweist. Bei Portalen, die auf Web-Technologien basieren, kann dies zum Beispiel in Form eines HTTP-Cookies erfolgen. Auf dem Portal erhält dann der Benutzer so Zugang zu mehreren Webanwendungen, bei denen er sich nicht mehr separat einloggen muss. Beispiele sind Yahoo! oder MSN (Passport).

Ticketing System

Alternativ kann auch ein Netz aus vertrauenswürdigen Diensten aufgebaut werden. Die Dienste haben eine gemeinsame Identifikation für den einen Benutzer, die sie gegenseitig austauschen resp. der eingeloggte Benutzer trägt ein virtuelles Ticket auf sich. Die erste Anmeldung erfolgt an einem System aus diesem 'Circle of Trust', der Zugriff auf die anderen vertrauenswürdigen Systeme wird vom zuerst angesprochenen System ermöglicht. Ein Beispiel dafür ist Kerberos, sowie das Liberty Alliance Project.

Lokale Lösung

Benutzer können auch auf ihrem Arbeitsplatz einen Client installieren, welcher erscheinende Loginmasken sofort mit dem richtigen Benutzernamen und dem richtigen Passwort automatisch ausfüllt.

Dazu muss die Maske vorher trainiert oder definiert worden sein. Beim Training der Maske muss darauf geachtet werden, dass diese auch zweifelsfrei erkannt wird. Es muss sichergestellt werden, dass eine nachgemachte/ ähnliche Maske nicht fälschlicherweise bedient wird, sonst könnten über diesen Weg sensible Anmeldedaten "abgegriffen" werden. Realisiert wird diese zweifelsfreie Erkennung heute oft über zusätzliche Merkmale wie Aufrufpfade, Erstelldatum einer Maske, etc. die ein Fälschen einer Maske erschweren.

Die Benutzernamen und Passworte können

  • in einer verschlüsselten Datei lokal auf dem PC,
  • auf einer Chipkarte,
  • oder auf Single-Sign-on-Appliances oder auf Single-Sign-on-Servern im Netzwerk

aufbewahrt werden. Ebenfalls ist es möglich, diese Daten in einen Verzeichnisdienst oder eine Datenbank auszulagern. Beispiele sind die in viele modernen Browsern integrierten 'Passwort-Manager', Microsofts Identity Metasystem, sowie viele kommerzielle Produkte. Dieser Ansatz wird zumeist bei unternehmens- bzw. organisationsinternen Single-Sign-on-Lösungen verfolgt, da oft proprietäre Anwendungen nicht mit Ticketing oder Portal-Lösungen verwendet werden können.

PKI

Eine Public-Key-Infrastruktur ist nur in gewisser Hinsicht als Single-Sign-on-System zu betrachten, eine PKI stellt eine Basis zur Authentifizierung für alle PKI-fähigen Anwendungen dar. Damit ist der einmalige Anmeldeprozess, das eigentliche Single Sign-on, nicht abgedeckt, aber das digitale Zertifikat ist das "Single-Tool" zur Authentisierung an verschiedenen Stellen. Oftmals wird ein ebensolches Zertifikat zur Primärauthentisierung für Ticketing oder lokale SSO-Lösungen verwendet.

Siehe auch

Weblinks


Wikimedia Foundation.

Игры ⚽ Поможем сделать НИР

Schlagen Sie auch in anderen Wörterbüchern nach:

  • Single-Sign-On — (engl. single sign on)(kurz SSO, mitunter als „Einmalanmeldung“ übersetzt) bedeutet, dass ein Benutzer nach einer einmaligen Authentifizierung auf alle Rechner und Dienste, für die er berechtigt ist, zugreifen kann, ohne sich jedes Mal neu… …   Deutsch Wikipedia

  • Single Sign On — (engl. single sign on)(kurz SSO, mitunter als „Einmalanmeldung“ übersetzt) bedeutet, dass ein Benutzer nach einer einmaligen Authentifizierung auf alle Rechner und Dienste, für die er berechtigt ist, zugreifen kann, ohne sich jedes Mal neu… …   Deutsch Wikipedia

  • Single sign-on — (SSO) is a property of access control of multiple related, but independent software systems. With this property a user logs in once and gains access to all systems without being prompted to log in again at each of them. Single sign off is the… …   Wikipedia

  • Single Sign-on — (engl. single sign on, kurz SSO, mitunter als „Einmalanmeldung“ übersetzt) bedeutet, dass ein Benutzer nach einer einmaligen Authentifizierung an einem Arbeitsplatz auf alle Rechner und Dienste, für die er lokal berechtigt (autorisiert) ist, am… …   Deutsch Wikipedia

  • Single Sign-On — (SSO) es un procedimiento de autenticación que habilita al usuario para acceder a varios sistemas con una sola instancia de identificación. Hay cinco tipos principales de SSO, también se les llama reduced sign on systems (en inglés, sistemas de… …   Wikipedia Español

  • Single sign on — (SSO) es un tipo de autenticación que habilita al usuario para acceder a varios sistemas con una sola instancia de identificación. Hay cinco tipos principales de SSO, también se los llama reduced sign on systems (en inglés, sistemas de… …   Enciclopedia Universal

  • Single Sign-On — Authentification unique L authentification unique (ou identification unique ; en anglais Single Sign On ou SSO) est une méthode permettant à un utilisateur de ne procéder qu à une seule authentification pour accéder à plusieurs applications… …   Wikipédia en Français

  • Single Sign On — Authentification unique L authentification unique (ou identification unique ; en anglais Single Sign On ou SSO) est une méthode permettant à un utilisateur de ne procéder qu à une seule authentification pour accéder à plusieurs applications… …   Wikipédia en Français

  • Single sign-on — Authentification unique L authentification unique (ou identification unique ; en anglais Single Sign On ou SSO) est une méthode permettant à un utilisateur de ne procéder qu à une seule authentification pour accéder à plusieurs applications… …   Wikipédia en Français

  • Single sign on — Authentification unique L authentification unique (ou identification unique ; en anglais Single Sign On ou SSO) est une méthode permettant à un utilisateur de ne procéder qu à une seule authentification pour accéder à plusieurs applications… …   Wikipédia en Français

Share the article and excerpts

Direct link
Do a right-click on the link above
and select “Copy Link”