Skip to content

Drucksache: Windows Developer 4.19 - Single Sign-on und die Sicherheit

Im Windows Developer 4.19 ist ein Artikel über die Sicherheit des Single Sign-on (SSO) erschienen.

Eine Leseprobe des Artikels gibt es auf entwickler.de.

Single Sign-On (kurz SSO), das bedeutet, man muss sich nur einmal einloggen und schon ist man überall drin. Das ist praktisch. Aber auch gefährlich. Denn das SSO erspart Ihnen das Merken von Zugangsdaten für etliche Dienste - und einem Angreifer das Knacken dieser vielen Zugangsdaten. Der muss auch nur den SSO-Zugang knacken und kommt in Ihrem Namen überall rein. Aber dafür muss er erst mal eine passende Schwachstelle in der SSO-Lösung finden.

Andererseits erhöhen die SSO-Lösungen oft auch die Sicherheit, da sich die Benutzer statt vieler verschiedener Zugangsdaten nur die für den SSO-Dienst merken müssen. "Oft", weil das natürlich nur gilt, wenn die SSO-Zugangsdaten sicher sind und wenn die dadurch eingesparten Zugangsdaten unsicher wären. Z.B weil identische Daten für mehrere Dienste verwendet oder unsichere Passwörter gewählt werden, wie es leider so oft der Fall ist.

Ansonsten sieht es bei der Sicherheit der SSO-Lösungen recht gut aus. Die sind natürlich ein verlockendes Ziel für Angreifer, wie z.B. ein Angriff auf OneLogin zeigt. Aber zumindest die auf den Sicherheitskonferenzen vorgestellten Angriffe erfordern meist einen bösartigen Benutzer oder haben andere Einschränkungen, die Angriffe unwahrscheinlicher bzw. schwieriger machen.

Mit einer Ausnahme: Der von Dirk-Jan Mollema vorgestellte Angriff auf/über Exchange Server ist auch mit zum Zeitpunkt der Veröffentlichung des Angriffs und dem Schreiben dieses Artikels aktuellen Exchange-Versionen möglich, ein Patch steht noch aus. Aber immerhin gibt es Workarounds.

Und hier noch die Links und Literaturverweise aus dem Artikel:

Carsten Eilers

>
        </div>
                
        <footer class= Kategorien: Drucksache

Trackbacks

Keine Trackbacks