Caratteristiche e vantaggi autenticazione centralizzata SSO
Autenticazione centralizzata SSO
L’autenticazione centralizzata, single sign on (SSO) è un meccanismo che permette all’utente di accedere a varie risorse informatiche, autenticandosi una sola volta ad un elemento centrale. Il SSO riduce gli errori umani, i fallimenti di sistema, ed è sempre una metodologia desiderabile, anche se non sempre facile da implementare.
Una volta che l’utente ha effettuato con successo l’autenticazione al servizio centrale, non sarà più necessario inserire le proprie credenziali, perché sarà riconosciuto globalmente da tutti i servizi applicativi facenti parte di quel sistema.
Queste non si preoccuperanno più di gestire autonomamente ogni autenticazione, ma solo verificare che l’utente si sia effettivamente connesso al server centrale.
In molti casi le diverse applicazioni hanno diversi meccanismi di autenticazione e usano protocolli differenti. L’uso del SSO può unificare tutto ciò: il sistema di SSO deve tradurre internamente e memorizzare le diverse credenziali rispetto a ciò che viene utilizzato per l’autenticazione iniziale. Questo introducendo anche uno standard unico per quel relativo sottosistema, scegliendo un protocollo specifico a seconda del grado di sicurezza richiesto. In questo modo il livello di sicurezza globale del sistema aumenta notevolmente.
I principali obiettivi del SSO sono quindi semplificare la gestione delle password, migliorare la gestione dell’accesso ai vari servizi, e rendere univoca la definizione delle politiche di sicurezza delle varie applicazioni.
L’architettura di un sistema SSO può essere composta in tre diversi modi: centralizzata, federata e cooperativa.
Nell’architettura centralizzata il principio è quello di utilizzare una base di dati globale o un servizio di directory come un server LDAP, comune a tutti gli utenti. Questa è utile quando tutti gli utenti appartengo ad una stessa organizzazione, come un azienda o una singola università.
Nell’ architettura federata, differenti organizzazioni cooperanti tra loro gestiscono i dati di uno stesso utente, creando una federazione. L’autenticazione ad uno dei sistemi collegati, concede l’accesso anche agli altri sistemi federati, ma ogni singolo ente può operare scelte differenti sulle politiche di sicurezza interne. Questa tecnica è ottima quando si hanno aziende dello stesso settore, che offrono servizi diversi, come per esempio un agenzia di viaggi convenzionata con l’azienda dei trasporti pubblici e con una catena alberghiera, che offrono promozioni agli utenti abbonati.
L’architettura cooperativa è simile alla precedente, con la differenza che ogni singolo utente è associato ad un ben preciso ente del consorzio. Quando un utente cerca di avere accesso ad una delle risorse comune, l’autenticazione viene effettuata dalla società che lo gestisce direttamente. Ovviamente la politica di sicurezza, e soprattutto quella di autorizzazione, è controllata da ogni singolo ente della comunità. Questa può essere un ottima scelta se si vuole creare un consorzio di università, che intendano lavorare e progredire scambiandosi informazioni e condividere i risultati ottenuti.
Vantaggi autenticazione centralizzata SSO
I vantaggi nell’uso di un sistema di autenticazione centralizzato sono molteplici:
- Riduzione del numero di credenziali che l’utente deve utilizzare e ricordare
- Minor tempo di autenticazione passando da un sistema ad un altro.
- Miglio grado di sicurezza dei singoli servizi applicativi
- Uniformità locale delle interfacce e dei protocolli di autenticazione, e miglior gestione dei messaggi personali o di errori.
- Riduzione dei costi. Minor costo di infrastrutture e server dedicati, con eventuale investimento su un ulteriore aumento della sicurezza e aggiornamenti. Inoltre il minor numero di password riduce anche il costo di assistenza per il recupero di credenziali dimenticate o sottratte.
Tuttavia, anche se i benefici sono tanti, non sempre è possibile implementare un SSO efficiente. Molte applicazioni proprietarie hanno un loro specifico protocollo di autenticazione, non adattabile completamente ad uno di tipo centralizzato.
Lo svantaggio più grande rimane comunque quello relativo all’intercettazione ed uso improprio delle credenziali proprietarie. Avendo accesso a molteplici servizi, l’intruso può operare un danno molto maggiore rispetto in precedenza. Alcuni sistemi devono quindi attuare politiche di sicurezze con standard molto elevati, in alcuni casi integrando un sistema di autenticazione forte con smart card o di tipo biometrica, oltre alla normale autenticazione con password. Lo sforzo iniziale dell’utente in fase di accesso, varrebbe un grado di sicurezza molto superiore.
CAS è un buon esempio di autenticazione centralizzata con un buon grado di sicurezza, infatti è utilizzato da molte aziende e università, così come il protocollo Kerberos.
Ultimamente sta prendendo molto campo l’idea di avere una smart card personale, contenete oltre al proprio certificato digitale, anche informazioni sull’utente e la gestione automatica delle password, il tutto crittografato e coperto da codice PIN. Durante il processo di autenticazione, viene richiesto all’utente di inserire la carta negli appositi lettori, e la sessione rimane valida finché la scheda rimane inserita.
