In de basis is het veiliger om per applicatie een zeer sterk wachtwoord te gebruiken. Echter brengt deze methode in de praktijk een aantal nadelen met zich mee:

SSO kan wachtwoordmanagement vereenvoudigen voor zowel de gebruikers als de beheerders:

Het grootste nadeel van SSO gebruiken is dat één ingang (één inlognaam en wachtwoord) toegang geeft tot meerdere applicaties. Als een kwaadwillend persoon/instantie deze inloggegevens in handen krijgt, dan heeft hij daarmee ook overal toegang toe. In theorie zou een Identity Provider (bijvoorbeeld Okta) gegevens kunnen lekken. Echter zal een Identity Provider doorgaans voldoende middelen inzetten om dit te voorkomen. Vaak hebben zij meer middelen ter beschikking om dit te voorkomen dan een gemiddelde IT-afdeling heeft.

SSO werkt op basis van een Identity Provider (IdP) en een Service Provider (SP). De SP kan de gebruiker pas inloggen nadat de IdP de gebruiker authenticeert. Dit laat zien dat er een vetrouwensrelatie tussen de IdP en de SP bestaat. De SP vertrouwt erop dat de IdP de gebruiker goed en veilig authenticeert. Andersom vertrouwt de IdP de SP dat de geauthenticeerde gebruiker en niet een andere gebruiker wordt ingelogd. Een IdP is dus de poortwachter welke de gebruiker authenticeert voor een of meerdere SP’s.

Als we bovenstaande informatie naar Zivver vertalen, dan betekent dit het volgende: als een organisatie een SSO-koppeling met Zivver opzet, dan neemt de organisatie de verantwoordelijkheid voor het authenticeren van de gebruiker volledig op zich. De IdP geeft namelijk aan Zivver (de SP) aan dat deze specifieke gebruiker in Zivver ingelogd mag worden. De organisatie garandeert daarbij dat de IdP de gebruiker op een veilige manier authenticeert (indien noodzakelijk met een MFA) en dat deze authenticatie niet omzeild kan worden door een kwaadwillend persoon/instantie. Zivver controleert deze SSO-inlogpoging niet en werpt ook geen MFA meer op. Standaard worden alle Zivver-accounts namelijk extra beveiligd met een MFA, tenzij de organisatie deze beveilingslaag uitzet door SSO te gebruiken.

Zivver kan met iedere IdP een SSO-koppeling opzetten als de IdP SAML 2.0 ondersteunt. Op dit moment hebben wij handleidingen beschikbaar om een SSO-koppeling te maken via de volgende IdP’s.