ما المقصود بتسجيل الدخول الموحد (SSO)؟

يعمل تسجيل الدخول الموحد على تبسيط مصادقة المستخدم، وتحسين تجربة المستخدم، وتحسين الأمان عند تنفيذه بشكل صحيح. يتم استخدامه غالبًا لإدارة المصادقة والوصول الآمن إلى الشبكات الداخلية أو الخارجية للشركة، وبوابات الطلاب، والخدمة السحابية، والبيئات الأخرى التي يحتاج فيها المستخدمون إلى التنقل بين التطبيقات المختلفة لإنجاز أعمالهم. كما أنه يُستخدم بشكل متزايد في مواقع الويب والتطبيقات التي تواجه العملاء - مثل المواقع المصرفية ومواقع التجارة الإلكترونية - لدمج التطبيقات من المزودين التابعين لجهات خارجية في تجربة مستخدم سلسة وغير متقطعة.

يعتمد تسجيل الدخول الموحد على علاقة الثقة الرقمية بين مزودي الخدمة- التطبيقات ومواقع الويب والخدمات - ومزود الهوية (IdP) أو حل تسجيل الدخول الموحد (SSO). غالبًا ما يكون حل تسجيل الدخول الموحد (SSO) جزءًا من حل أكبر لإدارة الهوية والوصول (IAM) .

بشكل عام، تعمل مصادقة تسجيل الدخول الموحد (SSO) على النحو التالي:

1. يقوم المستخدم بتسجيل الدخول إلى أحد مزودي الخدمة، أو إلى بوابة مركزية (مثل إنترانت الشركة أو بوابة طلاب الكلية) باستخدام بيانات اعتماد تسجيل الدخول من نوع تسجيل الدخول الموحد (SSO).
    

2. عندما تتم مصادقة المستخدم بنجاح، ينشئ حل تسجيل الدخول الموحد (SSO) رمزًا مميزًا لمصادقة الجلسة يحتوي على معلومات محددة حول هوية المستخدم - اسم المستخدم وعنوان البريد الإلكتروني وما إلى ذلك. يتم تخزين هذا الرمز المميز مع متصفح الويب الخاص بالمستخدم، أو في نظام تسجيل الدخول الموحد (SSO).
    

3. عندما يحاول المستخدم الوصول إلى مزود خدمة آخر موثوق به، يتحقق التطبيق من نظام تسجيل الدخول الموحد (SSO) لتحديد ما إذا كان المستخدم قد تمت مصادقته بالفعل لجلسة العمل. إذا كان الأمر كذلك، يقوم حل تسجيل الدخول الموحد (SSO) بالتحقق من صحة المستخدم من خلال توقيع الرمز المميز بشهادة رقمية، ويتم منح المستخدم حق الوصول إلى التطبيق. إذا لم يكن الأمر كذلك، فستتم مطالبة المستخدم بإعادة إدخال بيانات اعتماد تسجيل الدخول.

إن عملية تسجيل الدخول الموحد (SSO) الموضحة أعلاه - تسجيل دخول واحد ومجموعة من بيانات اعتماد المستخدم التي توفر الوصول إلى الجلسة لتطبيقات متعددة ذات صلة - تسمى أحيانًا تسجيل الدخول الموحد البسيط أو تسجيل الدخول الموحد الخالص. تشمل الأنواع الأخرى من تسجيل الدخول الموحد ما يلي:

يتطلب تسجيل الدخول الموحد (SSO) التكيفي مجموعة أولية من بيانات الاعتماد، ولكنه يُوجِّه بتقديم عوامل مصادقة إضافية أو تسجيل دخول جديد عند ظهور مخاطر إضافية - مثل عندما يقوم المستخدم بتسجيل الدخول من جهاز جديد أو عندما يحاول الوصول إلى بيانات أو وظائف حساسة على نحوٍ خاص.

تُعد إدارة الهوية الموحدة، أو FIM، مجموعة شاملة من تسجيل الدخول الموحد (SSO). بينما يستند تسجيل الدخول الموحد (SSO) إلى علاقة ثقة رقمية بين التطبيقات داخل نطاق مؤسسة واحدة، فإن إدارة الهوية الموحدة توسع هذه العلاقة لتشمل جهات خارجية وبائعين ومزودي خدمات آخرين خارج المؤسسة موثوق بهم. على سبيل المثال، قد تمكن إدارة الهوية الموحدة (FIM) موظفاً قام بتسجيل الدخول من الوصول إلى تطبيقات الويب التابعة لجهات خارجية (على سبيل المثال، Slack أو WebEx) دون تسجيل دخول إضافي، أو من خلال تسجيل دخول بسيط باسم المستخدم فقط.

يتيح تسجيل الدخول الاجتماعي للمستخدمين النهائيين إمكانية المصادقة على التطبيقات باستخدام نفس بيانات الاعتماد التي يستخدمونها للمصادقة على مواقع التواصل الاجتماعي الشهيرة. بالنسبة لمزودي تطبيقات الجهات الخارجية، يمكن أن يؤدي تسجيل الدخول الاجتماعي إلى تثبيط السلوكيات غير المرغوب فيها (على سبيل المثال، عمليات تسجيل الدخول الخاطئة، والتخلي عن عربة التسوق) وتوفير معلومات قيمة لتحسين تطبيقاتهم.

يمكن تنفيذ تسجيل الدخول الموحد (SSO) باستخدام أي من بروتوكولات وخدمات المصادقة المتعددة.

لغة ترميز تأكيد الأمان، أو SAML، هي البروتوكول القياسي المفتوح الأطول أمداً لتبادل بيانات المصادقة والتفويض المشفرة بين موفر الهوية وموفري الخدمة المتعددين. نظرًا لأنه يوفر تحكمًا أكبر في الأمان مقارنةً بالبروتوكولات الأخرى، يتم استخدام SAML عادةً لتنفيذ تسجيل الدخول الموحد (SSO) داخل وبين نطاقات تطبيقات المؤسسات أو التطبيقات الحكومية.

التفويض المفتوح، أو OAuth، هو بروتوكول قياسي مفتوح يتبادل بيانات التفويض بين التطبيقات دون الكشف عن كلمة مرور المستخدم. يتيح OAuth استخدام تسجيل دخول واحد لتبسيط التفاعلات بين التطبيقات التي تتطلب عادة عمليات تسجيل دخول منفصلة لكل منها. على سبيل المثال ، يتيح OAuth لمنصة LinkedIn البحث في جهات اتصال البريد الإلكتروني الخاصة بك عن أعضاء جدد محتملين لشبكة علاقاتك.

بروتوكول قياسي آخر مفتوح، يستخدم OICD واجهات برمجة تطبيقات REST والرموز المميزة لمصادقة JSON لتمكين موقع ويب أو تطبيق من منح المستخدمين حق الوصول عن طريق مصادقتهم من خلال مزود خدمة آخر.

يتم استخدام OICD، الذي يتم وضعه فوق OAuth، بشكل أساسي لتنفيذ عمليات تسجيل الدخول الاجتماعية إلى تطبيقات الجهات الخارجية وعربات التسوق وغير ذلك. OAuth/OIDC هو تنفيذ أخف وزنًا، وغالبًا ما يستخدم SAML لتنفيذ تسجيل الدخول الموحد (SSO) عبر البرامج كخدمة (SaaS) وتطبيقات السحابة وتطبيقات الأجهزة المحمولة وأجهزة إنترنت الأشياء .

يحدد بروتوكول الوصول إلى الدليل خفيف الوزن (LDAP) دليلاً لتخزين بيانات اعتماد المستخدم وتحديثها، وعملية لمصادقة المستخدمين مقابل الدليل. لا يزال LDAP، والذي تم تقديمه في عام 1993، حل دليل المصادقة المفضل للعديد من المؤسسات التي تطبق تسجيل الدخول الموحد (SSO)، لأن LDAP يتيح لهم توفير تحكم دقيق في الوصول إلى الدليل.

يتم تشغيل خدمات اتحاد الدليل النشط، أو Active Directory Federation Services (ADFS)، على Microsoft Windows Server لتمكين إدارة الهوية الموحدة - بما في ذلك تسجيل الدخول الموحد - مع التطبيقات والخدمات المحلية والخارجية. تستخدم ADFS خدمات Active Directory Domain Services (ADDS) كموفر هوية.

يوفر تسجيل الدخول الموحد (SSO) للمستخدمين الوقت ويجنبهم المتاعب. على سبيل المثال: بدلاً من تسجيل الدخول إلى تطبيقات متعددة عدة مرات في اليوم، باستخدام تسجيل الدخول الموحد (SSO) يمكن للمستخدمين النهائيين في الشركة تسجيل الدخول إلى الشبكة الداخلية للشركة مرة واحدة فقط للوصول طوال اليوم إلى كل التطبيقات التي يحتاجون إليها.

ولكن من خلال تقليل عدد كلمات المرور التي يحتاج المستخدمون إلى تذكرها وعدد حسابات المستخدمين التي يحتاج المسؤولون إلى إدارتها، يمكن أن يوفر تسجيل الدخول الموحد (SSO) عددًا من الفوائد الأخرى.

يتمثل الخطر الرئيسي المرتبط بتسجيل الدخول الموحد (SSO) في أنه إذا تم اختراق بيانات اعتماد المستخدم، يمكنه منح المهاجم حق الوصول إلى جميع أو معظم التطبيقات والموارد على الشبكة. لكن مطالبة المستخدمين بإنشاء كلمات مرور طويلة ومعقدة - وتشفير كلمات المرور هذه وحمايتها بعناية أينما تم تخزينها - يقطع شوطاً طويلاً نحو منع هذا السيناريو الأسوأ.

بالإضافة إلى ذلك، يوصي معظم الخبراء باستخدام المصادقة الثنائية (2FA) أو المصادقة متعددة العوامل (MFA) كجزء من أي تنفيذ لتسجيل الدخول الموحد (SSO). تتطلب المصادقة الثنائية أو المصادقة متعددة العوامل من المستخدمين تقديم عامل مصادقة واحد على الأقل بالإضافة إلى كلمة المرور، على سبيل المثال، رمز يتم إرساله إلى الهاتف المحمول أو بصمة الإصبع أو بطاقة هوية. نظرًا لأن بيانات الاعتماد الإضافية هذه هي التي لا يمكن للمخترقين سرقتها أو انتحالها بسهولة، يمكن أن تقلل المصادقة متعددة العوامل بشكل كبير من المخاطر المتعلقة ببيانات الاعتماد المخترقة في تسجيل الدخول الموحد (SSO).