Accedi una volta al mattino e all'improvviso email, calendario, chat e una dozzina di altri strumenti sono tutti aperti - niente più accessi. Questo è il single sign-on, o SSO. È uno dei sistemi di autenticazione più diffusi negli ambienti di lavoro, e sempre più online con i pulsanti «Accedi con Google». Questa guida spiega cos'è l'SSO, come funziona e i suoi limiti onesti.
L'SSO è più solido se abbinato all'autenticazione a più fattori.
La risposta breve
Il single sign-on ti permette di accedere una sola volta e usare tante app collegate senza reinserire la password. Ti autentichi con un servizio affidabile, e questo conferma la tua identità alle altre app al posto tuo. Un accesso, tanti servizi. Fa risparmiare tempo e riduce la pila di password che altrimenti dovresti gestire.
Come funziona l'SSO
Dietro la comodità c'è un fornitore di identità centrale - il servizio a cui in realtà accedi. Quando entri, rilascia a ogni app un token sicuro che dice «questa persona è verificata». Le app si fidano del token, quindi non ti chiedono mai la password e non la vedono mai. Tu vivi un solo accesso; le app accettano in silenzio la prova in sottofondo. Il pulsante «Accedi con Google» è SSO che probabilmente hai già usato.
I veri vantaggi
L'SSO è popolare per buoni motivi. Gestisci molte meno password, il che significa meno password deboli o riutilizzate. Accedere è più rapido, soprattutto tra i tanti strumenti di lavoro. E poiché tutto passa attraverso un unico fornitore di identità, la sicurezza può essere centralizzata - autenticazione forte e accesso a due fattori imposti in un solo punto invece che app per app. Per le aziende, rende anche molto più semplice aggiungere e rimuovere gli accessi.
I limiti onesti
C'è un rovescio della medaglia, e conta. L'SSO trasforma il tuo account principale in una chiave unica: se qualcuno vi entra, ogni app collegata è esposta in un colpo solo. Questo rende fondamentale proteggere l'account SSO - una password forte e unica e l'autenticazione a due fattori non sono negoziabili. L'SSO inoltre non copre tutto; tanti account che usi non hanno alcuna opzione SSO, quindi non sostituisce mai del tutto le buone abitudini con le password.
Proteggi gli account che l'SSO non copre - BitwardenPassword manager open-source e verificato, per password uniche su ogni account, comprese le tante app senza opzione di single sign-on→SSO o password manager
A volte le persone li trattano come rivali; sono invece alleati. L'SSO ti dà una sola identità per un gruppo di app collegate. Un password manager ti dà una password unica per ogni account, comprese tutte quelle che l'SSO non raggiunge. L'SSO riduce quanto spesso accedi; un password manager garantisce che ogni accesso che resta sia forte. Usa l'SSO dove è offerto, e un password manager per tutto il resto.
I protocolli dell'SSO spiegati in modo semplice (SAML, OAuth, OIDC)
Non dovrai mai configurarli tu, ma conoscere questi tre nomi aiuta a capire cosa succede quando clicchi su «Accedi con Google». Sono standard aperti che permettono alle app di fidarsi di un fornitore di identità senza mai condividere la tua password.
- SAML (Security Assertion Markup Language) è lo standard più vecchio, diffuso in azienda e nelle scuole. Dopo l'accesso al fornitore di identità, questo invia all'app un'«asserzione» XML firmata che indica chi sei. È pensato per l'autenticazione - provare l'identità - ed è il motore della maggior parte dei portali SSO aziendali.
- OAuth 2.0 non è davvero uno standard di accesso; è un framework di autorizzazione. Permette a un'app di agire per tuo conto in un'altra - per esempio dare a un'app calendario il permesso di leggere il tuo Google Calendar - consegnandole un token di accesso limitato invece della tua password.
- OIDC (OpenID Connect) è un sottile strato di identità costruito su OAuth 2.0. Aggiunge il pezzo mancante del «chi è questa persona», restituendo un token di identità (un JWT firmato) accanto al token di accesso. I pulsanti per il pubblico «Accedi con Google / Apple / Microsoft» che vedi online usano quasi sempre OIDC.
In pratica: SAML e OIDC gestiscono chi sei, OAuth gestisce cosa può fare un'app. In tutti e tre i casi l'app riceve un token firmato a breve durata, mai le tue vere credenziali - proprio per questo una password SSO carpita con il phishing è così pericolosa, ed è di questo che parla la sezione successiva.
Il rischio del singolo punto di guasto (e come limitarlo)
La comodità dell'SSO ha un lato tagliente: il tuo account del fornitore di identità è una chiave maestra. Compromettilo e un attaccante eredita in un colpo solo ogni app collegata, senza altre password. Vale la pena distinguere due rischi diversi.
Il primo è il furto dell'account - qualcuno carpisce con il phishing o indovina il tuo accesso all'IdP. Per questo l'account SSO deve avere le tue difese più solide: una password lunga e unica e un secondo fattore resistente al phishing come una chiave hardware o una passkey, mai il solo SMS. Il secondo è la disponibilità - se il fornitore di identità ha un'interruzione, puoi restare bloccato fuori da tutto ciò che dipende da esso fino al ripristino. Interruzioni reali di IdP hanno fatto esattamente questo a intere aziende.
Non puoi eliminare questi rischi, ma puoi attenuarli: proteggi l'account IdP più di qualsiasi singola app, attiva l'MFA su di esso, conserva i codici di recupero in un luogo sicuro e offline, e archivia password uniche per i tuoi account senza SSO in un password manager così che una singola interruzione dell'IdP non ti lasci mai completamente fuori.
Domande frequenti
«Accedi con Google» è la stessa cosa dell'SSO?
Sì. I pulsanti per il pubblico «Accedi con Google / Apple / Facebook» sono SSO costruito sullo standard OpenID Connect. Ti autentichi una volta con il fornitore, che garantisce per te presso il sito di terze parti, il quale non vede né conserva mai una password per te.
SSO significa che non ho più alcuna password?
No. Hai ancora una password - quella del tuo account del fornitore di identità. L'SSO significa solo che smetti di creare una password separata per ogni app collegata. Per questo è così importante proteggere quell'unica password rimasta (e aggiungerle l'MFA).
Posso usare l'SSO per i miei account personali, non solo al lavoro?
Spesso sì. Molti siti per il pubblico permettono di accedere con un account Google, Apple o Microsoft. Il rovescio della medaglia è che quegli account diventano centrali nella tua vita online, quindi meritano la massima protezione possibile. Per i siti senza opzione SSO, un password manager resta essenziale.
Cosa succede se il mio fornitore SSO va offline?
Puoi perdere temporaneamente l'accesso a ogni app che dipende da esso fino al ripristino del servizio. Questo rischio di disponibilità è un motivo per conservare codici di recupero di riserva e assicurarti che i tuoi account più critici - e ogni account senza SSO - abbiano le proprie password uniche archiviate in sicurezza.
In conclusione
Il single sign-on ti permette di accedere una sola volta e muoverti liberamente tra le app collegate, con meno password e una sicurezza centralizzata. Dietro le quinte si appoggia su standard aperti - SAML, OAuth e OIDC - che permettono alle app di fidarsi di un fornitore di identità senza mai vedere la tua password. Il rovescio della medaglia è che l'account SSO diventa un singolo punto di guasto, quindi va protetto con la massima cura, con una password forte e un'MFA resistente al phishing. E poiché non copre mai ogni account, funziona al meglio abbinato a un password manager - l'SSO per le app collegate, password uniche per il resto.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Blinda i tuoi account → NordPassPassword forti e uniche · scanner di violazioni · piano gratuito→Domande frequenti
Che cos'è il single sign-on in parole semplici?
Il single sign-on, o SSO, ti permette di accedere una sola volta e poi raggiungere tante app collegate senza autenticarti di nuovo a ciascuna. Ti autentichi con un servizio affidabile - come «Accedi con Google» o il tuo account di lavoro - e questo garantisce per te presso le altre app. Un accesso, tanti servizi. È il motivo per cui puoi aprire diversi strumenti di lavoro dopo un solo accesso al mattino.
Come funziona davvero l'SSO?
L'SSO si basa su un fornitore di identità centrale (IdP). Accedi all'IdP una volta; questo poi rilascia a ogni app un token sicuro che conferma chi sei, così le app si fidano di te senza chiederti di nuovo una password. Le app non vedono mai la tua password - solo il token. Dietro le quinte si usano standard come SAML o OpenID Connect, ma per te è semplicemente come accedere una volta sola.
L'SSO è sicuro?
Può migliorare la sicurezza, ma concentra il rischio. Da un lato, meno password significano meno password deboli o riutilizzate, e l'IdP è un unico punto dove imporre un'autenticazione forte e l'accesso a due fattori. Il rovescio della medaglia è che il tuo account SSO diventa una chiave unica: se viene compromesso, ogni app collegata è esposta. È proprio per questo che dovresti proteggere l'account SSO con una password forte e unica e con l'autenticazione a due fattori.
Qual è la differenza tra l'SSO e un password manager?
Risolvono problemi diversi e funzionano bene insieme. L'SSO ti dà una sola identità per un gruppo di app collegate, così accedi una volta. Un password manager conserva una password unica per ogni account che hai - comprese le tante app che non supportano l'SSO. L'SSO riduce quante volte accedi; un password manager garantisce che ogni accesso che resta sia forte e unico. La maggior parte delle persone ha bisogno di entrambi.
