La sicurezza online, anche attraverso il Single Sign-On, deve essere al primo posto perché le minacce in rete sono tante. E lo sa bene chi lavora ogni giorno con hosting e server. Ma bisogna dedicare spazio anche alla comodità e all’usabilità delle procedure per accedere.
Per questo conviene investire nel Single Sign-On, noto anche con l’acronimo SSO. Cosa significa? Stiamo parlando sistema di autenticazione centralizzata che permette a un utente di accedere a più applicazioni o servizi usando un unico processo di login.
Non è raro notare servizi che isolano i Single Sign-On su un dominio dedicato, che di solito è un terzo livello. Proprio come avviene quando accedi nell’area clienti https://sso.serverplan.com. Vuoi scoprire perché tutto questo è indispensabile? Iniziamo dalla base.
Il Single Sign-On (SSO) è un meccanismo di autenticazione che ti permette di accedere a più applicazioni o servizi usando un unico set di credenziali.
Praticamente, fai login una volta sola nella pagina di accesso principale e poi hai accesso a tutto ciò che è incluso in questo percorso. Dal punto di vista tecnico, abbiamo un identity provider che gestisce identità, permessi e durata delle sessioni. E che si occupa di rilasciare un token o una sessione valida per tutte le applicazioni collegate.
Abbiamo una praticità unica per l’utente. Prova a immaginare la necessità di accedere a un set di strumenti che fanno riferimento a un’unica realtà – ipotesi reale di Gmail, Google Analytics, Search Console, Google Drive. Senza SSO, dovresti inserire username e password per ognuno di questi tool. Con il Single Sign-On, invece, fai login una volta su un sistema centralizzato e quando apri i servizi integrati vieni autenticato. Risultato? Non devi digitare le password ogni volta. Ma i benefici non si limitano all’user experience.
Anche la sicurezza ha i suoi benefici. In primo luogo abbiamo meno rischio di usare password deboli o riutilizzare la stessa ovunque, poi c’è la possibilità di implementare l’autenticazione a due fattori (2FA) nel modo più semplice possibile, semplicità che abbraccia anche la gestione centralizzata degli accessi. Quindi, se qualcuno lascia l’azienda devi disattivare un account e non una decina.
Da leggere: come aumentare la sicurezza di un sito WordPress
In realtà sì, questo è il punto debole del meccanismo del Single Sign-On: se un hacker compromette le credenziali SSO, a causa di impostazioni non adeguate (ad esempio per una password debole), può accedere a tutti i servizi collegati con un’unica mossa. Per questo parliamo di singolo punto che permette all’infrastruttura di fallire: la maggior parte degli attacchi è causata da password banali.
L’SSO non elimina le password ma riduce drasticamente questo problema perché ti porta a concentrare gli sforzi su una credenziale forte invece che su decine deboli. Ma un SSO mal implementato e senza MFA, login multifattoriale, rischia di essere anche peggio delle soluzioni precedenti che ti costringevano a puntare su 20 login differenti. Proprio perché basta il primo login a far cadere tutto.
Per implementare l’SSO bisogna utilizzare quelli che in gergo tecnico vengono definiti protocolli. Vogliamo indicare due punti di riferimento? SAML (Security Assertion Markup Language) è uno dei più rodati, dal 2000 trasmettere le credenziali utente a un service provider per autenticare e autorizzare l’accesso in piena sicurezza. Tanto che è lo standard in ambienti enterprise e settori regolamentati.
Chiaramente ci sono tante opzioni differenti am è giusto citare un’opzione che si posiziona agli antipodi. All’esatto opposto della storicità di SAML troviamo OpenID Connect (OIDC), che si basa su OAuth 2.0. Quindi si aggiunge un livello di autenticazione che verifica l’identità dell’utente: usa JSON invece di XML, quindi è più leggero e facile da integrare con API moderne
Come anticipato, è possibile incontrare anche terzi livello con la sigla sso.dominio.it. Questo avviene quando i sistemi di Single Sign-On vengono isolati su un dominio dedicato, che di solito è proprio un terzo livello. Questo ti permette di separare il servizio di login dal resto del sito web riducendo il rischio che un problema dell’infrastruttura generale comprometta i meccanismi di autenticazione.
Che, ovviamente, sono quelli più delicati e soggetti ad attacchi. Rispetto alla gestione dei cookie, un dominio di terzo livello dedicato all’SSO evita conflitti, permette parametri di sicurezza più rigidi e consente di controllare meglio la portata dei cookie.
Per creare un dominio di terzo livello con SSO devi, in primo luogo, creare un percorso tipo sso.tuodominio.com. Se usi un pannello cPanel, vai nella sezione Sottodomini, aggiungi il nome (che può essere proprio SSO), e il sistema crea automaticamente una cartella nella public_html associata. A tal proposito ti suggerisco una guida dedicata a come creare un sottodominio, e nello specifico c’è la sezione Help che ti spiega come procedere per le installazioni Serverplan. Di solito si crea un indirizzo tipo sso.tuazienda.com o login.tuazienda.com per avere un isolamento di sicurezza e gestire certificazioni specifiche per il sistema di autenticazione.
Se vuoi un SSO come servizio indipendente conviene utilizzare uno di questi plugin: SAML Single Sign On – SSO Login o OAuth Single Sign On – SSO (OAuth Client) che supporta proprio la combinazione OAuth 2.0/OpenID Connect SSO per il login su WordPress.
In base al tipo di protocollo che preferisci, puoi utilizzare l’una o l’altra estensione: il meccanismo è molto semplice, basta installare il plugin e seguire il wizard per settare l’SSO sul sottodominio che devi inserire nella prima schermata (quella che vedi nello screenshot).
