Single Sign-On

Heeft jouw organisatie Single Sign-On nodig?

IT-leiders werken in een sector die gekenmerkt wordt door voortdurende verandering. Nieuwe technologieën brengen zowel kansen als risico’s met zich mee en stellen de mogelijkheden van IT-afdelingen binnen bedrijven keer op keer op de proef. Het bijblijven met deze veranderingen zou voor elke tech-leider de hoogste prioriteit moeten hebben: aangezien hackers voortdurend op zoek zijn naar nieuwe kwetsbaarheden om uit te buiten, is het nemen van de juiste beslissingen over de beveiliging van je tech-stack van cruciaal belang voor zowel de toekomst van je bedrijf als die van jezelf.

De complexiteit van een moderne IT-stack zou een paar jaar geleden nog onvoorstelbaar zijn geweest voor een CTO: in 2000 gebruikte een gemiddeld bedrijf slechts 4 of 5 bedrijfssoftwareoplossingen – die allemaal op de eigen servers van het bedrijf werden onderhouden. In 2019, volgens de Wall Street Journal, de gemiddelde grote onderneming zette zo’n 129 apps–een stijging van 68% in slechts vier jaar tijd–terwijl kleinere bedrijven zo’n 73 verschillende techoplossingen gebruiken. En het merendeel van die apps zijn cloudgebaseerde SaaS-oplossingen, wat zowel de complexiteit als de beveiliging van de stack flink vergroot.

Tegen deze achtergrond is het geen verrassing dat veel bedrijven Single Sign-On (SSO) zijn gaan onderzoeken als mogelijke oplossing voor betere beveiliging. Lees verder om meer te weten te komen over waarom SSO deel zou moeten uitmaken van de IT-beveiligingsprotocollen van je organisatie.

Wat is Single Sign-On?

Single Sign-On (SSO) is een veilig, webgebaseerd authenticatiemechanisme. Het deelt identiteiten tussen organisaties en applicaties en kan ervoor zorgen dat je niet langer aparte inloggegevens hoeft te onthouden voor alle apps en diensten die je dagelijks gebruikt. In plaats daarvan log je in op de bedrijfsomgeving van je werkgever en word je automatisch ingelogd bij elke app binnen de techstack van het bedrijf waarvoor de IT-beheerder je toegang heeft gegeven.

Waarom wachtwoorden een probleem zijn

Hoewel het volgens goede beveiligingspraktijken aan te raden is om voor elke app of dienst een unieke gebruikersnaam en een uniek wachtwoord te gebruiken, werd in een artikel van TechRepublic uit 2019 opgemerkt dat de gemiddelde werknemer gemiddeld tussen 35 verschillende apps schakelt, meer dan 1000 keer per dag. Door deze wildgroei aan niet-gestandaardiseerde gebruikersnamen en wachtwoorden is het voor medewerkers bijna onmogelijk om goede beveiligingsgewoonten in acht te nemen: velen nemen hun toevlucht tot afgeraden praktijken, zoals het opschrijven van inloggegevens, of gebruiken gewoon dezelfde inloggegevens voor verschillende diensten.

Bovendien zorgt deze wildgroei aan wachtwoorden ook voor frustratie bij gebruikers en leidt het tot productiviteitsproblemen – zowel binnen de IT-afdeling, die te maken krijgt met een enorme toename aan verzoeken om hulp bij wachtwoorden en het opnieuw instellen ervan, als in het hele bedrijf, omdat medewerkers ook kostbare tijd verliezen aan het beheren van hun wachtwoorden.

Welke voordelen biedt SSO?

Belangrijke voordelen van SSO zijn onder meer verbeterde beveiliging en productiviteit, en kostenbesparingen in je hele organisatie.

Verbeterde beveiliging

De afgelopen jaren zijn er een aantal opvallende hackaanvallen op grote bedrijven geweest, waardoor gevoelige gegevens van miljoenen klanten openbaar zijn gekomen. Deze inbreuken hebben bedrijven tijd, reputatieschade en miljarden dollars aan boetes, schadevergoedingen en gederfde inkomsten gekost. (Zie bijvoorbeeld de casestudy over Equifax hieronder.)

Hoewel SSO niet voorkomt dat hackers op zoek gaan naar kwetsbaarheden om misbruik van te maken, kan het wel de meest voorkomende oorzaak van hackgerelateerde inbreuken aanpakken. Volgens het rapport ‘Data Breach Investigations’ van Verizon uit 2019 Verslag, aanvallen waarbij inloggegevens waren gehackt of via phishing waren buitgemaakt, waren de meest voorkomende oorzaak van datalekken; ze waren goed voor 52% van alle lekken.

Maar hoewel grote bedrijven zoals Capital One en Equifax misschien de krantenkoppen halen, lopen ook kleinere bedrijven risico. Zoals uit het rapport van Verizon blijkt, is bij 43% van de datalekken een klein bedrijf het slachtoffer.

Kostenbesparingen en productiviteitswinst

Volgens de Gartner Group gaat maar liefst 50% van de helpdesk-meldingen bij een bedrijf over het opnieuw instellen van wachtwoorden – een directe kostenpost waar bijna elk bedrijf mee te maken heeft, en bovendien een bron van irritatie die de productiviteit van individuele medewerkers en de helpdesk als geheel negatief beïnvloedt.

Zoals hierboven al is besproken: hoe meer apps een medewerker moet openen, hoe groter het risico dat hij of zij wachtwoorden hergebruikt (wat een veiligheidsrisico oplevert) of inloggegevens vergeet, met als gevolg een telefoontje naar de helpdesk en verspilde kostbare minuten en uren.

SSO helpt niet alleen om deze financiële en productiviteitskosten in het dagelijks werk te verminderen, maar biedt IT-managers ook de mogelijkheid om de toegang tot meerdere applicaties tegelijk te verlenen of in te trekken. Dit kan helpen om de efficiëntie van de onboardingprocessen voor nieuwe medewerkers binnen je bedrijf te verbeteren, de toegang voor medewerkers op afstand en zzp’ers te beheren, en ook de beveiliging te verhogen wanneer een medewerker de organisatie verlaat.

Wat is SAML?

Om SSO te laten werken, moeten de betrokken partijen elkaar kunnen verifiëren en toegang kunnen verlenen. Op dit moment zijn de twee belangrijkste standaarden SAML 2.0 (Security Assertion Markup Language) en OpenID Connect.

Doodle gebruikt SAML 2.0 voor authenticatie en autorisatie. Het belangrijkste voordeel van SAML 2.0 is dat het tijdens het inloggen de authenticatiegegevens van een gebruiker opslaat als een beveiligde XML-handtekening. Deze handtekening kan vervolgens worden doorgegeven tussen vertrouwde providers, waardoor een gebruiker toegang krijgt tot alle apps die de inloggegevens accepteren, zonder dat hij opnieuw hoeft in te loggen.

Casestudy: Equifax

In 2017 werd Equifax, een van de grootste kredietinformatiebureaus ter wereld, gehackt door een groep die de persoonlijke gegevens van 147,7 miljoen Amerikanen stal – meer dan de helft van de volwassen bevolking van de VS.

Volgens een rapport van het Government Accountability Office (GAO) uit 2018 verslag, ontdekten hackers een bekende kwetsbaarheid in het online geschillenportaal van Equifax en maakten daar op verschillende manieren misbruik van, onder andere om “onversleutelde gebruikersnamen en wachtwoorden te achterhalen waarmee de aanvallers toegang konden krijgen tot verschillende andere databases van Equifax. Volgens de tijdelijke Chief Security Officer van Equifax konden de aanvallers deze inloggegevens gebruiken om hun toegang uit te breiden tot buiten de drie databases die bij het online geschillenportaal horen, naar nog eens 48 andere, niet-gerelateerde databases.”

De hack had ernstige gevolgen voor zowel Equifax als bedrijf als voor de medewerkers die verantwoordelijk waren voor de beveiliging bij Equifax. In september 2017, een week nadat Equifax de hack openbaar had gemaakt, gingen zowel de CIO als de Chief Security Officer met pensioen. Ondertussen hebben minstens twee andere leidinggevenden in de gevangenis gezeten wegens handel met voorkennis in verband met de hack: ze verkochten allebei aandelen van het bedrijf nadat de hack intern bekend was geworden, maar voordat dit aan het publiek was aangekondigd.

In juli 2019 sloot Equifax een schikking met de FTC, waarbij het bedrijf tussen de 575 miljoen en 700 miljoen dollar aan boetes moest betalen en schadevergoeding en gratis kredietbewaking moest bieden aan de mensen die door de hack waren getroffen. Als Equifax een degelijke SSO-implementatie had gehad, had het de boetes, het verlies aan vertrouwen en reputatie, en andere kosten die het als direct gevolg van de hack heeft geleden, wellicht kunnen voorkomen.

Hoe komen wachtwoorden in verkeerde handen terecht?

Er zijn allerlei manieren waarop hackers aan een wachtwoord kunnen komen. Hier zijn een paar van de meest voorkomende methoden:

Hacken – Zoals je hebt gezien in de Equifax-zaak, houdt hacken in dat een onbevoegde gebruiker toegang krijgt tot een of meer databases met gebruikersnamen en wachtwoorden, meestal door misbruik te maken van zwakke plekken in de beveiliging.

Barsten – Veel gebruikers – vooral bij zakelijke toepassingen – gebruiken vaak voorspelbare wachtwoorden. Bij het kraken van wachtwoorden wordt software gebruikt om snel allerlei variaties op de meest voorkomende wachtwoorden te doorlopen, in een poging om een match te vinden.

Phishing – Bij phishing-aanvallen stuurt een hacker meestal een e-mail waarmee hij een nietsvermoedende gebruiker naar een overtuigende, valse inlogpagina leidt die is opgezet om inloggegevens te stelen.

Toetsaanslagregistratie – Bij het registreren van toetsaanslagen gaat het om malware – die ofwel onbewust door de gebruiker is gedownload, ofwel door een derde partij is geïnstalleerd – die de toetsaanslagen van de gebruiker registreert en opslaat, zodat een hacker er toegang toe heeft.

Is Single Sign-On iets voor jou?

Het staat buiten kijf dat SSO veel risico’s en zwakke plekken wegneemt voor organisaties met complexe tech-stacks. Door slechte wachtwoordgewoonten als risicofactor uit te schakelen, word je veel minder kwetsbaar voor alle hackaanvallen, behalve de meest vastberaden en geavanceerde. En door het aantal zwakke plekken in de beveiligingsinfrastructuur van de organisatie te verminderen, kunnen tech-leiders overschakelen van een reactieve aanpak (kwetsbaarheden verhelpen zodra ze aan het licht komen) naar het inzetten van middelen voor proactieve monitoring en het testen van de beveiliging van hun organisatie.

Omdat de voordelen voor de veiligheid, productiviteit en het gebruiksgemak algemeen erkend worden, bieden veel van de bekendste SaaS-oplossingen voor bedrijven SSO-integratie aan als onderdeel van hun dienstverlening. Daarom is het integreren van SSO in de IT-strategie van je organisatie waarschijnlijk de juiste keuze als je te maken hebt met een of meer van de volgende situaties:

• Meerdere SaaS-toepassingen

• Verspreide teams

• Medewerkers die op afstand werken

• Aannemers

• Werknemers die hun eigen apparaten meenemen naar het werk

• Beperkte helpdeskcapaciteit

• Er is een flink aantal verzoeken van medewerkers om hun wachtwoord opnieuw in te stellen

Natuurlijk kan geen enkele oplossing risico’s volledig uitsluiten, en het is belangrijk om te beseffen dat SSO misschien niet in alle situaties geschikt is. Bijvoorbeeld: in organisaties waar veel gebruikers dezelfde apparaten of terminals delen of er toegang toe hebben, is er een groter risico dat onbevoegde gebruikers toegang krijgen tot de apps en gegevens van een andere gebruiker.

Wat moet ik nog meer weten?

Hoewel de kans om gehackt te worden bij SSO aanzienlijk kleiner is, zou een succesvolle hack van één gebruiker de hacker onbeperkte toegang geven tot alle gegevens die zijn opgeslagen in alle apps waartoe die gebruiker toegang had. Daarom kunnen leidinggevenden die wel voor SSO kiezen als oplossing hun risico nog verder verminderen door de volgende protocollen toe te passen:

• Maak gebruikers in de hele organisatie bewust van het belang van goede wachtwoord- en inloggewoonten

• Stel tijdslimieten in voor inloggegevens binnen de hele organisatie – zowel voor afzonderlijke sessies als voor de geldigheidsduur van een specifiek wachtwoord

• Stel strenge toegangsregels op; gebruikers moeten alleen toegang hebben tot de gegevens en apps die ze regelmatig gebruiken

• Beperk de toegang voor leveranciers en freelancers; controleer regelmatig de toegangs- en arbeidsstatus van deze gebruikers

• Overweeg om een wachtwoordbeheerder voor je medewerkers aan je systeemopstelling toe te voegen

Neem contact met ons op als je meer wilt weten over hoe Doodle kan worden geïntegreerd met Single Sign-On-providers.