SSO Nedir?
SSO (Single Sign-On), tek bir kullanıcı kimliği ile birden fazla servise (uygulama / web sayfası) erişim sağlayıp kullanma imkanı veren bir konsepttir. Türkçede tek oturum açma olarak bilinir. Bu konsepti daha iyi anlayabilmek için, bu sürecin genelde nasıl işlediğine bir örnek verelim.
- Normalde kullanıcı, X servisini (uygulama / web sayfası) kullanmak istediğinde o servisin oturum açma ekranıyla karşılaşır, kullanıcı adı ve parolasıyla giriş yapar ve tarayıcıda bu servis için bir cookie (çerez) oluşur.
- Kullanıcı başka bir servisi kullanmak istediği zaman tekrardan bu servisin oturum açma ekranıyla karşılaşır, kullanıcı adı ve parolasıyla giriş yapar ve tekrardan tarayıcıda bu servis için cookie oluşturulur. Bu işlem, kullanıcının kullanmak istediği servis sayısı kadar tekrarlanır.
Bu durumda kullanıcı her bir servis için ayrı ayrı hesap/parola oluşturmak ve oturum açmak için vakit harcar. Bu hesapların parolalarının belirli zaman aralıklarında değiştirilmesi de zaman kaybına, buna ek olarak kullanıcının aynı parolayı bütün servisler için kullanması da güvenlik zafiyetine sebep olur.
SSO Nasıl Çalışır?
SSO konseptinde temel olarak üç tip öğe bulunur. Bunlar;
- Yetkilendirme sunucusu (Identity Provider - IdP)
- Kullanıcıların bağlandıkları servislerin sunucuları (Server)
- İstemciler (Tarayıcı, mobil uygulama vb.)
Bir servisi kullanmak isteyen kullanıcı, yetkilendirme sunucusuna (IdP) ait oturum açma sayfasına yönlendirilir ve genelde kullanıcı adı ve parolasıyla oturum açar.
Monosign içerisinde Passwordless Login (parolasız oturum açma) gibi alternatif oturum açma yöntemleri mevcuttur
Günümüzde parolasız yöntemler giderek yaygınlaşmaktadır; özellikle geçiş anahtarları (passkey) ve FIDO2/WebAuthn tabanlı doğrulama, modern SSO çözümlerinde parolanın yerini almaya başlamıştır. Böylece tek oturum açmanın sağladığı kolaylık, parola kaynaklı risklerin azaltılmasıyla birleştirilmiş olur.
Daha sonra sunucu (IdP) tarafından kimlik doğrulama (Authentication) yapılır ve oturuma özel bir anahtar (Session Token) oluşturulur; bu anahtarla beraber kullanıcı, kullanmak istediği servisin sayfasına geri yönlendirilir. Oluşturulan bu token ilişkili diğer servisler tarafından da kullanılabilir. Yani bir kez parola ile yetkilenen kullanıcı, aynı SSO sistemine ait tüm servislere yetkisi dahilinde tekrar parola girmeden bağlanabilir.
Kullanıcı aynı SSO sistemine ait bir servisi kullanmak istediğinde, kullanılacak olan servis kendisine session token ile gelen kullanıcının/istemcinin token'ını yetkilendirme sunucusu üzerinden kontrol eder ve olumlu yanıt alırsa kullanıcının servisi kullanmasına izin verir. Gelen token yetkilendirme sunucusu tarafından onaylanmazsa kullanıcı, yetkilendirme sunucusuna ait oturum açma sayfasına yönlendirilir ve oturum açma işlemi tekrarlanır. Bu sayede parola sadece yetkilendirme sunucusunda kullanılmış olur ve her servis özelinde oturum açma işlemi ile vakit kaybedilmemiş olur.
