Single Sign-on (englisch single sign-on, kurz SSO, mitunter als ‚Einmalanmeldung‘ übersetzt) bedeutet, dass ein Benutzer nach einer einmaligen Authentifizierung an einem Arbeitsplatz auf alle Rechner und Dienste, für die er lokal berechtigt (autorisiert) ist, am selben Arbeitsplatz zugreifen kann, ohne sich jedes Mal neu anmelden zu müssen. Wechselt der Benutzer den Arbeitsplatz, wird die Authentifizierung, wie auch die lokale Autorisierung, hinfällig.
Gerade im Hinblick auf heutige Portale wird diese Möglichkeit aus Anwendersicht vorausgesetzt. Innerhalb von Portalen ist es auch möglich, dass die Identität des angemeldeten Benutzers an die das Portal konstituierenden Sichten weitervererbt wird, ohne dass dies der Sicht des Anwenders selbst bekannt gemacht worden wäre. Ein Benutzer besitzt immer genau eine einzige physische Identität wie in der realen Welt. Innerhalb eines Systems kann der Benutzer als Individuum aber unter verschiedenen Benutzernamen (logische Identität) gespeichert sein. Ziel des Single Sign-ons ist es, dass sich der Benutzer nur einmal unter Zuhilfenahme eines Authentifizierungsverfahrens (z. B. durch Kennworteingabe) identifiziert. Danach übernimmt der SSO-Mechanismus die Aufgabe, den Anwender zu authentifizieren (die erkannte physische Identität zu bestätigen). Eine weitere Anforderung an das Single Sign-on ist, dass es nicht schwächer sein darf als das Authentifizierungsverfahren selbst.
Der Benutzer verwendet ein elektronisches Token, das die gesamte Passwortinformation oder mindestens einen Authentisierungsfaktor enthält und diese(n) automatisch an den Arbeitsplatz überträgt (elektronische Schlüsselanzeige mit manueller Tastatureingabe, elektronischer Schlüssel mit Kontaktübertragung (USB, 1wire etc.), drahtloser Schlüssel (Bluetooth-Token. Mobiltelefon mit Bluetooth-Funktion etc.)).
Der Benutzer kann sich auf einem Portal erstmals einloggen und wird dort authentifiziert und pauschal autorisiert. D. h. er bekommt ein Merkmal, das ihn gegenüber den innerhalb des Portals integrierten Anwendungen eindeutig ausweist. Bei Portalen, die auf Web-Technologien basieren, kann dies zum Beispiel in Form eines HTTP-Cookies erfolgen. Auf dem Portal erhält dann der Benutzer so Zugang zu mehreren Webanwendungen, bei denen er sich nicht mehr separat einloggen muss. Beispiele sind Yahoo! oder MSN (Passport).
Alternativ kann auch ein Netz aus vertrauenswürdigen Diensten aufgebaut werden. Die Dienste haben eine gemeinsame Identifikation für den einen Benutzer, die sie gegenseitig austauschen resp. der eingeloggte Benutzer trägt ein virtuelles Ticket auf sich. Die erste Anmeldung erfolgt an einem System aus diesem 'Circle of Trust', der Zugriff auf die anderen vertrauenswürdigen Systeme wird vom zuerst angesprochenen System ermöglicht. Ein Beispiel dafür ist Kerberos, sowie das Liberty Alliance Project.
Benutzer können auch auf ihrem regelmäßig benutzten Arbeitsplatz einen Client installieren, welcher erscheinende Loginmasken sofort mit dem richtigen Benutzernamen und dem richtigen Passwort automatisch ausfüllt. Damit wird die Authentisierung geschwächt, soweit keine weiteren Faktoren abgefragt werden.
Dazu muss die Maske vorher trainiert oder definiert worden sein. Beim Training der Maske muss darauf geachtet werden, dass diese auch zweifelsfrei zugeordnet wird. Es muss sichergestellt werden, dass eine nachgemachte bzw. ähnliche Maske nicht fälschlicherweise bedient wird, sonst könnten über diesen Weg sensible Anmeldedaten "abgegriffen" werden. Realisiert wird diese zweifelsfreie Erkennung heute oft über zusätzliche Merkmale wie Aufrufpfade, Erstelldatum einer Maske etc., die ein Fälschen einer Maske erschweren.
Die Benutzernamen und Passwörter können als Faktoren
aufbewahrt werden. Ebenfalls ist es möglich, diese Daten in einen Verzeichnisdienst oder eine Datenbank auszulagern. Beispiele sind die in viele modernen Browsern integrierten 'Passwort-Manager', Microsofts Identity Metasystem, sowie viele kommerzielle Produkte. Dieser Ansatz wird zumeist bei unternehmens- bzw. organisationsinternen Single-Sign-on-Lösungen verfolgt, da oft proprietäre Anwendungen nicht mit Ticketing oder Portal-Lösungen verwendet werden können.
Eine Public-Key-Infrastruktur ist nur in gewisser Hinsicht als Single-Sign-on-System zu betrachten, eine PKI stellt eine Basis zur Authentifizierung für alle PKI-fähigen Anwendungen dar. Damit ist der einmalige Anmeldeprozess, das eigentliche Single Sign-on, nicht abgedeckt, aber das digitale Zertifikat ist das "Single-Tool" zur Authentisierung an verschiedenen Stellen. Oftmals wird ein ebensolches Zertifikat zur Primärauthentisierung für Ticketing oder lokale SSO-Lösungen verwendet.
Dieser Artikel basiert auf dem Artikel Single_Sign-on aus der freien Enzyklopädie Wikipedia und ist unter der Lizenz Creative Commons Attribution/Share Alike verfügbar. Zusätzliche Bedingungen können anwendbar sein. In der Wikipedia ist eine Liste der Autoren verfügbar. |
Wetter
