Lexique · Sécurité des données
SSO
Le SSO (Single Sign-On, authentification unique) permet à un utilisateur de s'authentifier une seule fois auprès d'un fournisseur d'identité pour accéder à plusieurs services, sans ressaisir ses identifiants. Il s'appuie sur des protocoles comme SAML 2.0 ou OpenID Connect.
Ce que ça change pour une organisation
Avec le SSO, l’utilisateur s’authentifie une fois auprès d’un fournisseur d’identité, qui transmet aux applications (les fournisseurs de services) une assertion attestant de cette authentification. Dans SAML 2.0, plusieurs sessions ouvertes auprès de fournisseurs de services partagent alors un même contexte d’authentification. OpenID Connect, fondé sur OAuth 2.0, repose pour sa part sur un jeton d’identité qui contient un identifiant de l’utilisateur et des informations sur la manière dont il s’est authentifié.
Le SSO réduit le nombre de mots de passe à gérer et permet d’appliquer en un seul point la politique d’authentification, par exemple l’authentification multifacteur. En contrepartie, un compte ou une session détournés au niveau du fournisseur d’identité ouvrent l’accès à tous les services qui s’y appuient. Il convient donc de protéger ce point en priorité : authentification multifacteur, protection des jetons de session, surveillance des connexions.
Exemple
Entre le 28 septembre et le 17 octobre 2023, un attaquant a accédé à des fichiers du système de support client d’Okta, un fournisseur d’identité. Certains fichiers HAR contenaient des jetons de session, utilisables pour détourner des sessions Okta légitimes. Okta a indiqué que 134 clients, soit moins de 1 % de sa clientèle, étaient concernés et que cinq d’entre eux avaient subi un détournement de session. Parmi les mesures annoncées figure une option qui lie les jetons de session des administrateurs à leur emplacement réseau, avec nouvelle authentification en cas de changement de réseau.
À ne pas confondre avec
- L’authentification multifacteur : elle renforce la preuve d’identité, alors que le SSO réduit le nombre de connexions ; les deux se combinent.
- La réutilisation d’un même mot de passe : chaque service conserve alors sa propre base d’identifiants, alors qu’avec le SSO l’authentification est confiée à un fournisseur d’identité unique.
- L’IAM : ensemble plus large de processus de gestion des identités et des droits, dont le SSO est l’une des briques.
