Stavo leggendo questo articolo sui vantaggi dell'SSO e questa frase intriga io:
Can reduce phishing – Phishing, a fraudulent process where victims are tricked into giving away sensitive user information, increasing security for you and your users.
Come è possibile? Voglio dire se la vittima sta usando SSO, quindi l'attaccante avrà accesso a tutti i servizi autorizzati invece del solo "account phishing" che aumenterebbe l'impatto del phishing.
Sono d'accordo con le altre due risposte fornite, ma ci sono un paio di altri vantaggi, quando SSO è implementato correttamente.
Quando gli utenti non hanno a disposizione diverse pagine di accesso, sono più in grado di capire quando qualcosa non va.
Le nuove forme di SSO, come OAuth2, non fanno altro che fornire un token sicuro per il client da utilizzare per verificare se un utente è effettivamente autorizzato con successo. Non perde il loro nome utente, password o altro. È semplicemente un'affermazione secondo cui, secondo il provider di identità, è un vero utente con qualsiasi mezzo abbia provato da sé e che abbia un identificatore univoco specifico per quel provider.
Potrebbero aver usato una smart card, impronte digitali o altri dati biometrici, ecc., e hanno dimostrato che chi dicono di essere, ma niente di più. Gli attacchi di phishing che utilizzano queste forme di SSO sono inutili, perché non ottengono né le credenziali utilizzate dall'utente né informazioni su altri account che hanno. I token generati sono validi anche per un'app specifica, quindi non possono nemmeno utilizzare quel token per accedere ad altri servizi a cui l'utente potrebbe avere accesso.
L'idea alla base di SSO è che impedisce all'utente di inserire le credenziali più spesso, riducendo così la potenziale superficie di attacco. Si noti che dice può ridurre il phishing. Aiuta anche a eliminare un altro problema piuttosto comune: le persone che scrivono le password e le lasciano in bella vista (se ne hanno solo una da ricordare, hanno meno probabilità di scriverle).
Ci sono una serie di altri vantaggi dall'utilizzo di SSO, dalla prevenzione del riciclo delle password, alle inefficienze ridotte (tempo sprecato in entrambi gli utenti che devono immettere credenziali separate frequentemente e tempo di supporto quando dimenticano password aggiuntive).
Leggi altre domande sui tag authentication phishing single-sign-on