احراز هویت یکپارچه (Single Sign-On یا SSO) با فراهم کردن امکان ورود به چندین سامانه، به کاربران اجازه می‌دهد با یک بار ورود، بدون نیاز به وارد کردن مجدد اطلاعات ورود برای هر سامانه، به سرویس‌های مختلف دسترسی داشته باشند؛ قابلیتی که اگرچه تجربه کاربری و مدیریت دسترسی را ساده‌تر می‌کند، اما در صورت نفوذ به حساب اصلی، می‌تواند دامنه دسترسی مهاجم را به چندین سامانه گسترش دهد. حمله سایبری سال 2025 به دانشگاه پنسیلوانیا نمونه‌ای روشن از این ریسک بود؛ مهاجمان پس از نفوذ به یک حساب کاربری در سامانه PennKey دانشگاه پنسیلوانیا، توانستند به سامانه‌هایی از جمله وی‌پی‌ان (VPN)، سیلزفورس (Salesforce)، کیولیک (Qlik)، اس‌ای‌پی (SAP) و شیرپوینت (SharePoint) دسترسی پیدا کنند و در نهایت اطلاعات 1.2 میلیون نفر را سرقت نمایند. با این حال، این رخداد به معنای ناامن بودن SSO نیست؛ احراز هویت یکپارچه در صورت پیکربندی و ایمن‌سازی صحیح، می‌تواند با کاهش نیاز کاربران به استفاده از رمزهای عبور متعدد برای سامانه‌های مختلف، متمرکز کردن سیاست‌های دسترسی و تسهیل اجرای احراز هویت چندعاملی (MFA)، سطح امنیت سازمان را افزایش دهد. در نتیجه، صرفاً فعال کردن SSO نمی‌تواند امنیت سازمان را تضمین کند؛ این فناوری باید به‌عنوان یک کنترل امنیتی حیاتی در برابر حملات مدرن مبتنی بر اعتبارنامه‌ها، به‌طور مستمر محافظت و تقویت شود.
امنیت احراز هویت یکپارچه از رمز عبور قدرتمند آغاز می‌شود
استفاده از رمزهای عبور قدرتمند یکی از اصول پایه در تأمین امنیت حساب‌های کاربری است، اما در محیط‌هایی که یک اعتبارنامه امکان دسترسی به چندین سامانه را فراهم می‌کند، اهمیت آن دوچندان می‌شود. با این حال، افزایش امنیت رمز عبور نباید فرآیند ورود کاربران را پیچیده و دشوار کند؛ زیرا SSO با هدف ساده‌سازی فرآیند احراز هویت و فراهم کردن دسترسی سریع‌تر به سرویس‌های مختلف طراحی شده است.
بر اساس آخرین دستورالعمل‌های مؤسسه ملی استانداردها و فناوری آمریکا (NIST)، هنگام تعیین سیاست‌های رمز عبور باید به طول مناسب، قابلیت استفاده و شناسایی رمزهای عبور ضعیف یا افشاشده توجه ویژه‌ای داشت. NIST توصیه می‌کند اگر ورود به یک سامانه فقط با رمز عبور انجام می‌شود، طول رمز عبور حداقل 15 کاراکتر باشد.
همچنین، NIST توصیه می‌کند رمزهای عبوری که در کنار احراز هویت چندعاملی (MFA) استفاده می‌شوند، حداقل 8 کاراکتر داشته باشند و سامانه‌ها نیز امکان انتخاب رمزهایی تا 64 کاراکتر را فراهم کنند. سازمان‌ها باید رمزهای عبور جدید را با بلاک‌لیست‌ها (Blocklists) بررسی کنند تا از انتخاب رمزهای رایج، قابل پیش‌بینی یا افشاشده جلوگیری شود. همچنین NIST نسبت به برخی سیاست‌های قدیمی رمز عبور که هنوز در بسیاری از سازمان‌ها استفاده می‌شوند، هشدار می‌دهد. الزام به رعایت قوانین پیچیده هنگام انتخاب رمز عبور و تغییر دوره‌ای آن می‌تواند کاربران را به استفاده از الگوهای قابل پیش‌بینی سوق دهد؛ برای مثال، کاربر ممکن است تنها یک رقم از رمز قبلی را تغییر دهد یا نمادی به انتهای آن اضافه کند.
MFA مقاوم در برابر حملات مدرن
اتکا به یک رمز عبور قوی در احراز هویت یکپارچه، به‌تنهایی برای محافظت از اپلیکیشن‌ها و سامانه‌های سازمانی کافی نیست. امروزه بدافزارهای رباینده اطلاعات (Infostealers) به یکی از ابزارهای مهم مهاجمان برای دستیابی به رمزهای عبور و اطلاعات احراز هویت تبدیل شده‌اند. این بدافزارها می‌توانند اطلاعات ورود کاربران را از سیستم‌های آلوده جمع‌آوری کنند و حتی رمزهای عبوری که مطابق با الزامات امنیتی و مقررات سازمانی انتخاب شده‌اند نیز ممکن است در داده‌های سرقت‌شده آن‌ها مشاهده شوند.
به همین دلیل، محافظت از حساب‌های کاربری نباید تنها به رمز عبور متکی باشد. احراز هویت چندعاملی (MFA) با افزودن یک لایه امنیتی دیگر، باعث می‌شود مهاجم حتی در صورت دستیابی به رمز عبور نیز نتواند به‌سادگی وارد حساب کاربری شود.
روش انتخاب‌شده برای MFA نیز اهمیت زیادی دارد. کدهای تأیید پیامکی و رمزهای یک‌بارمصرف (OTP) در مقایسه با استفاده از رمز عبور به‌تنهایی امنیت بیشتری ایجاد می‌کنند، اما در برابر حملات مدرن، قوی‌ترین روش‌های موجود نیستند.
سازمان‌ها بهتر است تا حد امکان از روش‌های احراز هویت مقاوم در برابر فیشینگ از جمله کلیدهای امنیتی FIDO2، WebAuthn و کلیدهای عبور (Passkeys) استفاده کنند؛ این روش‌ها به‌ویژه برای محافظت از حساب‌های دارای سطح دسترسی بالا (Privileged Accounts) و حساب‌هایی که به سامانه‌های حساس دسترسی دارند، اهمیت زیادی دارند.
از منابع و دسترسی‌های تحت کنترل SSO محافظت کنید
سازمان‌ها باید علاوه بر ایمن‌سازی فرآیند ورود، از منابع و سرویس‌هایی که دسترسی به آن‌ها از طریق احراز هویت یکپارچه مدیریت می‌شود نیز محافظت کنند و بر نحوه ایجاد، اعتبارسنجی و استفاده از هویت‌های کاربری نظارت دقیقی داشته باشند.
اولین گام، ایمن‌سازی حساب‌های مدیریتی ارائه‌دهنده هویت (IdP) است. این حساب‌ها سطح دسترسی بالایی دارند و ادمین‌ها می‌توانند از طریق آن‌ها سیاست‌های احراز هویت را تغییر دهند، اپلیکیشن‌های جدید اضافه کنند، حساب‌های کاربری را ایجاد یا بازنشانی کنند و اتصال سرویس‌ها و سامانه‌های مختلف را تأیید نمایند. به همین دلیل، حفاظت از این حساب‌ها باید با دقت بیشتری انجام شود:
- استفاده از احراز هویت چندعاملی مقاوم در برابر فیشینگ
- استفاده از حساب‌های ادمین مجزا برای فعالیت‌های مدیریتی
- اعطای دسترسی موقت در زمان نیاز به ادمین‌ها
- نظارت مستمر بر فعالیت و تغییرات انجام‌شده با این حساب‌ها
گواهی‌ها و کلیدهای مورد استفاده برای امضای دیجیتال نیز باید با دقت محافظت شوند. گواهی‌های SAML و کلیدهای امضای توکن به سرویس‌ها اجازه می‌دهند صحت و اعتبار ارائه‌دهنده هویت را تأیید کنند. اگر این گواهی‌ها یا کلیدها افشا شوند یا مورد سوءاستفاده قرار گیرند، مهاجمان می‌توانند خود را به جای کاربران جا بزنند یا از نشست‌های معتبر برای دسترسی غیرمجاز استفاده کنند. دسترسی به این موارد باید کاملاً محدود باشد، هرگونه تغییر در آن‌ها باید هشدار امنیتی ایجاد کند و گواهی‌ها نیز پیش از انقضا تعویض شوند.
اطلاعات محرمانه OAuth و سایر داده‌های احراز هویت اپلیکیشن‌ها نیز نیازمند حفاظت جدی هستند. اطلاعات کلاینت، اعتبارنامه‌های اپلیکیشن و توکن‌های رفرش (Refresh Tokens) می‌توانند دسترسی طولانی‌مدتی برای مهاجمان ایجاد کنند؛ حتی ممکن است مهاجم بدون نیاز به انجام مجدد فرآیند ورود، بتواند این دسترسی را حفظ کند. این اطلاعات باید در مخزن امن اطلاعات محرمانه محافظت شوند و به‌صورت دوره‌ای تعویض گردند. همچنین لازم است مجوزهای اپلیکیشن‌های ثبت‌شده به‌طور منظم بررسی شوند تا دسترسی‌های غیرضروری یا فراتر از نیاز شناسایی و حذف شوند.
در نهایت، سازمان‌ها باید مجوزهای اعطا‌شده از سوی کاربران و مجوزهایی که برای اپلیکیشن‌ها در نظر گرفته شده است را به‌طور منظم بررسی کنند. مهاجمان پس از نفوذ اولیه معمولاً به دنبال راه‌هایی برای حفظ دسترسی خود هستند و مجوزهای پرریسک اپلیکیشن‌های شخص ثالث می‌توانند این امکان را برای آن‌ها فراهم کنند. برای کاهش این ریسک، باید امکان تأیید دسترسی‌های حساس توسط کاربران محدود شود، دریافت مجوزهای حساس به تأیید ادمین نیاز داشته باشد و مجوزهای بلااستفاده یا دسترسی‌هایی که فراتر از نیاز اپلیکیشن هستند، حذف شوند.
آیا احراز هویت یکپارچه امن است؟
احراز هویت یکپارچه همچنان راهکاری قابل اتکا برای مدیریت دسترسی کاربران محسوب می‌شود، به شرط آنکه به‌درستی پیاده‌سازی و ایمن‌سازی شود. مزیت اصلی آن برای کاربران، ساده‌تر شدن دسترسی به سرویس‌های مختلف است؛ به‌طوری که دیگر لازم نیست برای هر اپلیکیشن رمز عبور جداگانه‌ای به خاطر بسپارند یا در صورت فراموشی رمز، هر بار مراحل بازیابی آن را انجام دهند. در بیشتر موارد، کاربر کافی است یک‌بار وارد حساب خود شود تا پس از آن بتواند بدون ورود مجدد، به سرویس‌ها و منابع مختلف دسترسی پیدا کند.
این موضوع برای تیم پشتیبانی فناوری اطلاعات (IT Support) نیز مزیت دارد؛ زیرا با کاهش موارد فراموشی رمز عبور و قفل شدن حساب‌های کاربری، تعداد درخواست‌های پشتیبانی کمتر می‌شود و تیم فناوری اطلاعات می‌تواند زمان بیشتری را به فعالیت‌های مهم‌تر اختصاص دهد.
از نظر امنیتی، احراز هویت یکپارچه (SSO) به سازمان امکان می‌دهد فرآیند احراز هویت کاربران را از یک نقطه مرکزی مدیریت کند. اپلیکیشن‌ها دیگر لازم نیست رمز عبور کاربران را مستقیماً دریافت کنند یا با خود داشته باشند و در عوض، از توکن‌های احراز هویت که ارائه‌دهنده هویت (IdP) در اختیار آن‌ها قرار می‌دهد، استفاده می‌کنند.
این رویکرد باعث می‌شود رمزهای عبور در سرویس‌های مختلف کمتر مورد استفاده قرار گیرند و احتمال افشای آن‌ها کاهش یابد. همچنین تیم‌های امنیتی می‌توانند کنترل‌هایی مانند احراز هویت چندعاملی (MFA)، دسترسی شرطی (Conditional Access)، ثبت و بررسی لاگ‌ها و لغو دسترسی حساب‌های کاربری را از یک نقطه مدیریت کنند.
همچنین این روش دسترسی کاربران به منابع حیاتی سازمان را سریع‌تر می‌کند. کاربران دیگر لازم نیست برای هر ابزار یا سرویس دوباره اطلاعات ورود خود را وارد کنند و می‌توانند بدون وقفه‌های اضافی، سریع‌تر به سامانه‌های موردنیاز خود دسترسی داشته باشند.
مدیریت متمرکز دسترسی‌ها به سازمان کمک می‌کند الزامات انطباق (Compliance) را نیز ساده‌تر رعایت کند. با متمرکز شدن مدیریت دسترسی، تهیه گزارش‌های موردنیاز، انجام ممیزی‌های امنیتی (Auditing)، اجرای الزامات مربوط به احراز هویت قوی و لغو سریع دسترسی کاربران پس از ترک سازمان یا تغییر سمت آن‌ها آسان‌تر می‌شود.
با این حال، این فناوری برای همه سناریوهای ورود کاربران مناسب نیست و نمی‌توان آن را به‌طور پیش‌فرض کاملاً امن در نظر گرفت. اما با پیاده‌سازی صحیح و اعمال کنترل‌های امنیتی مناسب، می‌تواند تجربه کاربری را بهبود دهد، حجم درخواست‌های تیم پشتیبانی را کاهش دهد، امنیت سازمان را تقویت کند و مدیریت دسترسی‌ها را ساده‌تر سازد.
