تسجيل دخول موحد

تسجيل الدخول الموحد ( SSO ) هو نظام مصادقة يسمح للمستخدم بتسجيل الدخول باستخدام معرف واحد إلى أي من أنظمة البرامج المتعددة ذات الصلة، ولكنها مستقلة.

تتيح خاصية تسجيل الدخول الموحد الحقيقية للمستخدم تسجيل الدخول مرة واحدة والوصول إلى الخدمات دون الحاجة إلى إعادة إدخال عوامل المصادقة.

لا ينبغي الخلط بينه وبين تسجيل الدخول الموحد (مصادقة خادم الدليل)، والذي يتم تحقيقه غالبًا باستخدام بروتوكول الوصول إلى الدليل الخفيف (LDAP) وقواعد بيانات LDAP المخزنة على خوادم (الدليل). ^{[ 1 ] [ 2 ]}

يمكن تحقيق نسخة بسيطة من تسجيل الدخول الموحد عبر شبكات بروتوكول الإنترنت باستخدام ملفات تعريف الارتباط، ولكن فقط إذا كانت المواقع تشترك في نطاق DNS رئيسي مشترك. ^{[ 3 ]}

ولتوضيح الأمر، يتم التمييز بين مصادقة خادم الدليل (تسجيل الدخول الموحد) وتسجيل الدخول الفردي: تشير مصادقة خادم الدليل إلى الأنظمة التي تتطلب مصادقة لكل تطبيق ولكنها تستخدم نفس بيانات الاعتماد من خادم الدليل، في حين يشير تسجيل الدخول الفردي إلى الأنظمة التي توفر فيها مصادقة واحدة الوصول إلى تطبيقات متعددة عن طريق تمرير رمز المصادقة بسلاسة إلى التطبيقات المُكوّنة.

وعلى العكس من ذلك، فإن تسجيل الخروج الفردي أو تسجيل الخروج الفردي ( SLO ) هو الخاصية التي بموجبها يؤدي إجراء واحد لتسجيل الخروج إلى إنهاء الوصول إلى أنظمة برمجية متعددة.

بما أن التطبيقات والموارد المختلفة تدعم آليات مصادقة مختلفة ، يجب على نظام تسجيل الدخول الموحد تخزين بيانات الاعتماد المستخدمة للمصادقة الأولية داخليًا وترجمتها إلى بيانات الاعتماد المطلوبة للآليات المختلفة.

توفر أنظمة المصادقة المشتركة الأخرى، مثل OpenID وOpenID Connect، خدمات إضافية قد تتطلب من المستخدمين تحديد خيارات عند تسجيل الدخول إلى مورد ما، ولكن يمكن تهيئتها لتسجيل دخول موحد في حال تعطيل تلك الخدمات الأخرى (مثل موافقة المستخدم). ويتطلب عدد متزايد من عمليات تسجيل الدخول الاجتماعية الموحدة، مثل Facebook Connect، من المستخدم إدخال خيارات الموافقة عند التسجيل لأول مرة في مورد جديد، وبالتالي لا تُعتبر دائمًا تسجيل دخول موحدًا بالمعنى الدقيق للكلمة.

تشمل فوائد استخدام تسجيل الدخول الموحد ما يلي:

• تقليل مخاطر الوصول إلى مواقع الطرف الثالث ("المصادقة الموحدة") ^{[ 4 ]} لأن كلمات مرور المستخدمين لا يتم تخزينها أو إدارتها خارجياً.
• قلل من إرهاق كلمات المرور الناتج عن استخدام مجموعات مختلفة من أسماء المستخدمين وكلمات المرور
• تقليل الوقت المستغرق في إعادة إدخال كلمات المرور لنفس الهوية ^{[ 4 ]}
• خفض تكاليف تكنولوجيا المعلومات بسبب انخفاض عدد مكالمات مكتب المساعدة التقنية المتعلقة بكلمات المرور ^{[ 5 ]}

تتشارك خدمة تسجيل الدخول الموحد (SSO) خوادم المصادقة المركزية التي تستخدمها جميع التطبيقات والأنظمة الأخرى لأغراض المصادقة، وتجمع ذلك مع تقنيات لضمان عدم اضطرار المستخدمين إلى إدخال بيانات اعتمادهم بشكل فعال أكثر من مرة.

وقد استخدم البعض مصطلح تسجيل الدخول المخفّض (RSO) للإشارة إلى حقيقة أن تسجيل الدخول الموحد غير عملي في تلبية الحاجة إلى مستويات مختلفة من الوصول الآمن في المؤسسة، وبالتالي قد يكون من الضروري وجود أكثر من خادم مصادقة واحد. ^{[ 6 ]}

بما أن تسجيل الدخول الموحد يتيح الوصول إلى العديد من الموارد بمجرد مصادقة المستخدم ("مفاتيح الوصول إلى النظام")، فإنه يزيد من الآثار السلبية في حال توفر بيانات الاعتماد لأشخاص آخرين وإساءة استخدامها. لذا، يتطلب تسجيل الدخول الموحد تركيزًا أكبر على حماية بيانات اعتماد المستخدم، ويُفضل دمجه مع أساليب مصادقة قوية مثل البطاقات الذكية ورموز كلمات المرور لمرة واحدة . ^{[ 6 ]}

يزيد تسجيل الدخول الموحد أيضًا من الاعتماد على أنظمة المصادقة عالية التوافر؛ إذ قد يؤدي فقدان توافرها إلى حرمان جميع الأنظمة الموحدة ضمن نظام تسجيل الدخول الموحد من الوصول. ويمكن تهيئة نظام تسجيل الدخول الموحد بإمكانيات تجاوز فشل الجلسة للحفاظ على استمرارية عمل النظام. ^{[ 7 ]} ومع ذلك، قد يجعل خطر تعطل النظام استخدام تسجيل الدخول الموحد غير مرغوب فيه للأنظمة التي يجب ضمان الوصول إليها في جميع الأوقات، مثل أنظمة الأمن أو أنظمة أرضية المصنع.

علاوة على ذلك، قد يؤدي استخدام تقنيات تسجيل الدخول الموحد عبر خدمات التواصل الاجتماعي مثل فيسبوك إلى جعل مواقع الطرف الثالث غير قابلة للاستخدام في المكتبات والمدارس وأماكن العمل التي تحظر مواقع التواصل الاجتماعي لأسباب تتعلق بالإنتاجية. كما قد يسبب ذلك صعوبات في الدول التي تطبق أنظمة رقابة صارمة ، مثل الصين ومشروعها " الدرع الذهبي "، حيث قد لا تخضع مواقع الطرف الثالث للرقابة الفعلية، ولكنها تُحظر فعليًا إذا تم حظر تسجيل دخول المستخدم عبر مواقع التواصل الاجتماعي. ^{[ 8 ] [ 9 ]}

في مارس 2012، ^{[ 10 ]} نُشرت ورقة بحثية تُفيد بدراسة مُوسّعة حول أمان آليات تسجيل الدخول عبر مواقع التواصل الاجتماعي . وقد اكتشف الباحثون ثماني ثغرات منطقية خطيرة في مُزوّدي خدمات الهوية البارزين ومواقعهم الإلكترونية المُعتمدة، مثل OpenID (بما في ذلك Google ID وPayPal Access)، وFacebook ، وJanrain ، وFreelancer ، وFarmVille ، و Sears.com . ولأن الباحثين أبلغوا مُزوّدي خدمات الهوية والمواقع الإلكترونية المُعتمدة قبل الإعلان الرسمي عن اكتشاف هذه الثغرات، فقد تمّ تصحيحها، ولم يتمّ الإبلاغ عن أيّ اختراقات أمنية. ^{[ 11 ]}

في مايو 2014، تم الكشف عن ثغرة أمنية تُعرف باسم " إعادة التوجيه الخفي ". ^{[ 12 ]} وقد أبلغ عنها لأول مرة مكتشفها، وانغ جينغ، طالب دكتوراه في الرياضيات من جامعة نانيانغ التكنولوجية في سنغافورة، تحت عنوان "ثغرة إعادة التوجيه الخفي المتعلقة ببروتوكول OAuth 2.0 وOpenID". ^{[ 13 ] [ 14 ] [ 15 ]} في الواقع، تتأثر بها جميع بروتوكولات تسجيل الدخول الموحد تقريبًا . تستغل ثغرة "إعادة التوجيه الخفي" برامج الطرف الثالث المعرضة لهجمات البرمجة النصية عبر المواقع (XSS) أو إعادة التوجيه المفتوح . ^{[ 16 ]}

في ديسمبر 2020، تم اكتشاف ثغرات في أنظمة المصادقة الموحدة تم استغلالها من قبل المهاجمين خلال اختراق بيانات الحكومة الفيدرالية الأمريكية في عام 2020. ^{[ 17 ] [ 18 ]}

بسبب آلية عمل تسجيل الدخول الموحد، حيث يتم إرسال طلب إلى الموقع الذي تم تسجيل الدخول إليه للحصول على رمز SSO، ثم إرسال طلب آخر مع الرمز إلى الموقع الذي تم تسجيل الخروج منه، لا يمكن حماية الرمز باستخدام خاصية HttpOnly في ملفات تعريف الارتباط، وبالتالي يمكن للمهاجم سرقته في حال وجود ثغرة أمنية من نوع XSS في الموقع الذي تم تسجيل الخروج منه، وذلك بهدف اختراق الجلسة . ومن المشاكل الأمنية الأخرى أنه في حال سرقة الجلسة المستخدمة لتسجيل الدخول الموحد (والتي يمكن حمايتها باستخدام خاصية HttpOnly في ملفات تعريف الارتباط، على عكس رمز SSO)، سيتمكن المهاجم من الوصول إلى جميع المواقع التي تستخدم نظام SSO.

كما طُبِّقَ في الأصل في بروتوكولي Kerberos و SAML ، لم يُتيح تسجيل الدخول الموحد للمستخدمين أي خيارات بشأن مشاركة معلوماتهم الشخصية مع كل مورد جديد يزورونه. وقد كان هذا النظام فعالاً ضمن مؤسسة واحدة، مثل معهد ماساتشوستس للتكنولوجيا (MIT) حيث طُوِّرَ Kerberos، أو الشركات الكبرى التي كانت جميع مواردها مواقع داخلية. مع ذلك، ومع انتشار الخدمات الموحدة مثل خدمات Active Directory Federation Services ، أصبحت معلومات المستخدم الخاصة تُرسَل إلى مواقع تابعة خارجة عن سيطرة المؤسسة التي جمعت البيانات. ونظرًا لتشديد لوائح الخصوصية حاليًا مع تشريعات مثل اللائحة العامة لحماية البيانات (GDPR) ، بدأت الأساليب الأحدث مثل OpenID Connect تكتسب جاذبية أكبر؛ فعلى سبيل المثال، يدعم معهد ماساتشوستس للتكنولوجيا، مبتكر Kerberos، الآن OpenID Connect . ^{[ 19 ]}

• اختطاف الحساب مسبقًا
• خدمة المصادقة المركزية
• إدارة الهوية
• أنظمة إدارة الهوية
• قائمة تطبيقات تسجيل الدخول الموحد
• مدير كلمات المرور
• لغة ترميز تأكيدات الأمان
• سهولة استخدام أنظمة المصادقة عبر الويب

• مقدمة عن تسجيل الدخول الموحد مع الرسوم التوضيحية