SP-initiierte SSO vs. IdP-initiierte SSO

Die Wahl zwischen SP-initiiertem und IdP-initiiertem SSO ist nicht nur eine technische Frage; die richtige Wahl kann dazu beitragen, die Sicherheit und Produktivität Ihres Unternehmens zu steigern.

Markteinblicke können sehr aufschlussreich sein. Laut Fortune-Business-EinblickeDer globale Markt für Single Sign-On (SSO) wird voraussichtlich mit zunehmenden Cybersicherheitsbedrohungen wachsen, wodurch SSO zu einer wichtigen Lösung für Unternehmen wird, die ihre Systeme sichern wollen.

In diesem Artikel untersuchen wir, welche Art von SSO-Lösung (IdP- oder SP-initiiert) die optimale Wahl für Ihr Unternehmen sein kann. miniOrange bietet SSO-Lösungen, die den Bedürfnissen Ihrer Organisation entsprechen und den aktuellen Markttrends gerecht werden.

Kurz gesagt: Der richtige SSO-Ansatz ist nicht nur klug, sondern Ihr Schlüssel zum Erfolg. Wer den Anschluss verliert, wird von der Konkurrenz überholt.

Was genau ist Single Sign-On (SSO)?

Einmaliges Anmelden (SSO) ist ein Sicherheitsansatz, bei dem Benutzer mit nur einem Satz von Anmeldeinformationen Zugriff auf mehrere Anwendungen erhalten, was Komfort und Sicherheit erhöht.

Die Benutzer geben ihre Anmeldeinformationen bei einem Identitätsanbieter (IdP) ein, der diese mit den in einer Datenbank wie Active Directory gespeicherten Daten abgleicht. Nach erfolgreicher Bestätigung der Anmeldeinformationen erhält der Benutzer Zugriff auf die Anwendungen.

SSO funktioniert auf föderierte Identität Prinzipien, die den Austausch von Attributen über vertrauenswürdige Systeme hinweg mithilfe von Protokollen wie OpenID Connect (OIDC) und SAML 2.0 ermöglichen. SSO hat sich seit den 1990er Jahren parallel zu LDAP (Lightweight Directory Access Protocol) und Active Directory (AD), um den modernen Authentifizierungsanforderungen gerecht zu werden.

Was ist ein IdP-initiiertes SSO?

An Identitätsanbieter (IdP) ist ein vertrauenswürdiger Dienst, der Benutzeridentitäten authentifiziert und sicheren Zugriff auf mehrere Anwendungen gewährt. Er zentralisiert den Authentifizierungsprozess, erhöht die Sicherheit und vereinfacht die Zugriffsverwaltung.

IdP-initiiertes SSO ist ein Prozess, bei dem die Benutzerauthentifizierungsanfrage von Identitätsanbietern (IdPs) wie Google Workspace, Okta, Microsoft Entra ID oder AWS initiiert wird. Vereinfacht gesagt, ist der IdP der Ausgangspunkt für den Anmeldevorgang des Benutzers.

In der Praxis können Plattformen wie WordPress auch als Identitätsanbieter fungieren. Mit unserem WordPress SAML IDP SSOOrganisationen können so IdP-initiierte Authentifizierungsabläufe unterstützen und gleichzeitig den sicheren Zugriff auf mehrere SAML-fähige Dienstanbieter gewährleisten.

Was ist SP-initiiertes SSO?

In Identitäts- und Zugriffsmanagement (IAM)Ein Dienstanbieter (SP) kann eine Website, eine App oder ein Dienst sein, auf den ein Benutzer zugreifen möchte.

Ein Service Provider (SP) benötigt einen vertrauenswürdigen Identitätsanbieter (IdP) zur Benutzerauthentifizierung. Sobald der IdP die Identität des Benutzers bestätigt hat, gewährt der SP dem Benutzer Zugriff auf die Ressourcen. Beispiele für Service Provider sind Projektmanagement-Tools, Social-Media-Konten, Cloud-basierte Anwendungen und vieles mehr.

Bei SP-initiiertem SSO handelt es sich um einen Prozess, bei dem die Authentifizierungsanfrage vom Dienstanbieter (SP) initiiert wird.

Worin besteht der Unterschied zwischen IdP-initiiertem und SP-initiiertem SSO?

IdP-SSO unterscheidet sich in vielerlei Hinsicht von SP-initiiertem SSO, vom Anmeldevorgang bis hin zu Anwendungsfällen. Lassen Sie uns den Unterschied genauer betrachten.

Vor- und Nachteile von IdP-initiiertem SSO

Hier finden Sie eine zusammengefasste Liste der Vor- und Nachteile der Verwendung von IdP-initiiertem SSO.

Vorteile

• Einfach für die Benutzer, da alles an einem Ort zentralisiert ist.
• Der IdP ist flexibel und kann daher mit mehreren SPs konfiguriert werden, um spezifischen Anwendungsfällen gerecht zu werden.
• Die IdP-initiierte Anmeldung kann integriert werden mit Authentifizierungslösungenwie z. B. passwortlose Authentifizierung, Biometrie, Zwei-Faktor-Authentifizierung, adaptive MFAund vieles mehr, exklusiv angeboten von miniOrange.

Nachteile

• Anfällig gegenüber Man-in-the-Middle-Angriffe, wo Cyberkriminelle SAML-Aussagen behindern.
• Falls die Anmeldenachricht abgefangen wird, kann sich jemand anderes (eine schädliche Instanz) als der Benutzer ausgeben.

Vor- und Nachteile von SP-initiiertem SSO

Hier ein kurzer Überblick über die Vor- und Nachteile von SP-initiiertem SSO.

Vorteile

• Nutzer können sich direkt über die gewünschte App anmelden, anstatt sich über einen Identitätsanbieter (IdP) anzumelden.
• Es findet keine Sitzungsumschreibung statt, da SP-initiiertes SSO Anfragen an den IdP weiterleitet.

Nachteile

• Manche SPs sind nicht geeignet für SAML Anfragen, und zwar Single-Page-Anwendungen (SPA), APIs oder kundenorientierte Apps.
• Schwierig zu beheben, wenn das Problem auf Seiten des Service Providers (SP) liegt.

Vom IdP initiierter SSO-Workflow

Im IdP-initiierten Workflow versucht der Benutzer, sich bei einem IdP wie Google Workspace anzumelden und anschließend auf die gewünschte Anwendung oder Ressource zuzugreifen. So funktioniert der Workflow:

1. Benutzerauthentifizierung beim IdP

• Der Benutzer besucht das IdP-Portal und meldet sich mit seinen Zugangsdaten an.
• Der Identitätsanbieter (IdP) überprüft die Identität anhand seiner Datenbank (AD oder LDAP).

2. Erstellung eines SAML-Tokens

• Der IdP generiert eine signierte SAML-Assertion, die die Authentifizierungsinformationen des Benutzers enthält.
• Diese Assertion beinhaltet die notwendigen Benutzerattribute für den SP.

3. Tokenübertragung

• Der Identitätsanbieter verpackt die Assertion in eine SAML-Antwort.
• Der IdP sendet eine digital signierte Antwort per HTTP POST an den SP.

4. SP-Verifizierung

• SP empfängt eine SAML-Antwort.
• Der Dienstanbieter validiert die digitale Signatur des Identitätsanbieters.
• Extraktion und Verifizierung der SAML-Assertion durch SP.

5. Zugriffsberechtigung

• Der Service Provider (SP) prüft die Benutzerberechtigungen anhand der Zugriffsrichtlinien.
• Wenn die Validierung erfolgreich ist, gewährt der Dienstanbieter den Zugriff auf den angeforderten Dienst.

Dieser Workflow gewährleistet ein reibungsloses und sicheres Anmeldeerlebnis und reduziert die Notwendigkeit mehrfacher Anmeldungen bei verschiedenen Diensten.

SP-initiierter SSO-Workflow

Die vom Service Provider (SP) initiierte SSO-Authentifizierung beginnt bei der Anwendung, auf die der Benutzer zugreifen möchte, und der Ablauf ist wie folgt:

1. Erster SP-Zugriff und Umleitung

• Der Benutzer versucht, auf den Service Provider (SP) zuzugreifen.
• Der Service Provider (SP) leitet einen nicht authentifizierten Benutzer zusammen mit einer SAML-Anfrage an einen Identity Provider (IdP) weiter.

2. Benutzerauthentifizierung

• Der Benutzer gelangt auf die Anmeldeseite des Identitätsanbieters.
• Die Anmeldeinformationen zur Verifizierung werden vom Benutzer bereitgestellt.
• Der Identitätsanbieter (IdP) überprüft die Anmeldeinformationen anhand der Benutzerdatenbank.

3. Generierung und Verpackung von SAML-Token

• Der IdP erstellt eine SAML-Assertion mit den Authentifizierungsinformationen des Benutzers.
• Anschließend wird die Assertion in eine signierte SAML-Antwort verpackt.
• Der IdP enthält auch wesentliche Attribute für SP.

4. Tokenübertragung und -empfang

• Der Identitätsanbieter (IdP) sendet eine signierte SAML-Antwort über einen HTTP-POST-Request an den Dienstanbieter (SP).
• Der Service Provider (SP) empfängt die Nachricht und extrahiert anschließend die SAML-Assertion.
• Die digitale Signatur des Identitätsanbieters wird vom Dienstanbieter verifiziert.

5. Validierung und Autorisierung

• Der Service Provider (SP) validiert die SAML-Assertion anhand der Zugriffsrichtlinien.
• Es überprüft die Berechtigungen und Rollen des Benutzers.
• Der Zugriff auf den angeforderten Dienst wird gewährt, wenn der Benutzer verifiziert ist; andernfalls wird der Zugriff verweigert.

Dieser Workflow kann aufgrund der anfänglichen Umleitung etwas komplex sein, ist aber eine der bevorzugten Optionen für Benutzer, die sich direkt in die jeweiligen Anwendungen einloggen.

Praktische Anwendungsfälle von IdP- und SP-initiiertem SSO

Hier ist eine zusammengefasste Liste der Bereiche, in denen IdP-initiiertes und SP-initiiertes SSO implementiert werden kann.

IdP-initiierte SSO-Anwendungsfälle

IdP SSO findet in vier verschiedenen Branchen Anwendung, und zwar in folgenden:

• Corporate: Gewährleisten Sie einen einfachen Zugriff auf verschiedene interne und externe Anwendungen/Ressourcen.
• Ausbildung: Nahtloser Zugriff auf Lernmanagementsysteme (LMS) wie Moodle, Coursera, Udemy, Blackboard und mehr.
• Gesundheitswesen: Schneller und sicherer Zugriff auf Patientenportale, Gesundheits-Apps und Wellness-Anwendungen.
• E-Commerce: Mit einer einzigen ID können Sie auf verschiedenen E-Commerce-Plattformen wie Shopify, Amazon oder Walmart einkaufen.

SP-initiierte SSO-Anwendungsfälle

SP-initiiertes SSO kann für folgende Zwecke verwendet werden:

• Szenarien für föderierte Identitäten: Es wird für föderiertes SSO verwendet, wobei die Fähigkeit des Service Providers (SP), die Zugriffsabsicht des Benutzers auf die Anwendungen zu überprüfen, die Sicherheit erhöht.
• Kundenorientierte Anwendungen: Anwendungen für Endverbraucher wie Gesundheitsportale, Bankdienstleistungen und E-Commerce-Anwendungen, bei denen sich Kunden direkt einloggen.
• Öffentlich zugängliche Apps: Apps, auf die die Benutzer von verschiedenen Organisationen aus zugreifen, damit sie sich direkt anmelden und sich beim Identitätsanbieter ihrer Organisation authentifizieren können.

SP-initiiertes vs. IdP-initiiertes SSO: Welches ist das richtige?

IdP und SP unterscheiden sich in vielerlei Hinsicht. SP-initiiertes SSO ist die richtige Wahl, wenn der Anmeldeprozess kontrolliert werden muss und für kundenorientierte Anwendungen. Es eignet sich besonders für Umgebungen, die detaillierte Sicherheitsvorkehrungen, umfassende Audit-Protokolle und Kompatibilität mit verschiedenen IdPs erfordern.

Die IdP-initiierte Anmeldung eignet sich am besten für streng kontrollierte Unternehmensorganisationen, zentralisierte Zugriffsszenarien und die Integration älterer Software.

Wie kann miniOrange helfen?

miniOrange bietet umfassende SSO-Lösungen, darunter SP-initiierte, IdP-initiierte und föderierte SSO-Lösungen, um den vielfältigen Authentifizierungsanforderungen gerecht zu werden. Die SSO-Lösungen von miniOrange unterstützen außerdem OAuthSie unterstützen die Protokolle JWT und OpenID Connect und ermöglichen die nahtlose Integration mit verschiedenen Anwendungen.

Stärken Sie die Abwehrkräfte Ihres Unternehmens mit einem Produkt, das sowohl Benutzerfreundlichkeit als auch Sicherheit bietet. Nutzen Sie außerdem zusätzliche Funktionen wie: Multi-Faktor-Authentifizierungssoftware (MFA), Risikobasierte Authentifizierung (RBA), Phishing-resistente MFAund vieles mehr.

Verbinden Sie sich noch heute mit uns für eine kostenlose SSO-Testversionund sehen Sie sich unsere flexiblen Preisoptionen.

FAQs

Wann sollte man sowohl IdP- als auch SP-initiiertes SSO verwenden?

Nutzen Sie IdP-initiiertes SSO, wenn die Authentifizierung auf der IdP-Anmeldeseite beginnt, und SP-initiiertes SSO, wenn die Benutzer einer App direkt Zugriff gewähren möchten.

Wie lässt sich das Risiko von SAML-IdP-initiiertem SSO minimieren?

Stellen Sie sicher, dass SAML-Assertions validiert und signiert sind, um Manipulationen zu verhindern, und erlauben Sie Assertions nur für bestimmte Service Provider (SPs). Nutzen Sie außerdem MFA, um die Sicherheit beim Login zu erhöhen, und erlauben Sie SSO nur von vertrauenswürdigen Identitätsanbietern (IdPs), um unberechtigten Zugriff zu verhindern. Sie können Login-Versuche und Anomalien kontinuierlich protokollieren, um schnell auf Sicherheitsvorfälle reagieren zu können. Legen Sie zudem Ablaufzeiten für SAML-Token fest, um Session Hijacking zu verhindern.

Was ist eine Identitätsföderation?

Identitätsföderation ist ein Prozess zur Schaffung von Vertrauen zwischen verschiedenen Organisationen, um Benutzern den Zugriff auf verschiedene Anwendungen mit nur einem Satz von Anmeldeinformationen zu ermöglichen.