¿Qué es el SSO?

El inicio de sesión único (SSO) es un modelo de autenticación en el que un usuario inicia sesión una sola vez con un único conjunto de credenciales y obtiene acceso a todas las aplicaciones para las que está autorizado durante esa sesión, sin necesidad de volver a introducir las credenciales cada vez. La mayoría de los sistemas de SSO empresariales se implementan mediante SAML u OpenID Connect, que se intercambian entre un proveedor de identidad y cada servicio conectado.

Puntos clave

• Con un solo inicio de sesión se accede a todas las aplicaciones conectadas durante la sesión.
• SAML y OpenID Connect son los dos estándares en los que se basan la mayoría de los sistemas de inicio de sesión único (SSO) empresariales.
• Un proveedor de identidad autentica a los usuarios; los servicios confían en sus afirmaciones.
• Los flujos de SSO comienzan bien en el proveedor de servicios, bien en el proveedor de identidad.
• Versa Director, Concerto y el portal « Titan » son compatibles con el inicio de sesión único (SSO) basado en SAML u OpenID.

En esta página: Por qué es importante · Cómo funciona · Tipos · SSO y Versa · Preguntas frecuentes

¿Por qué es importante el SSO?

Sin el SSO, los usuarios tienen que gestionar una contraseña distinta para cada aplicación, lo que da lugar a credenciales débiles, reutilizadas o anotadas —una de las principales causas de las violaciones de seguridad por apropiación de cuentas—. El SSO elimina esa carga: el usuario se autentica una sola vez ante un proveedor de identidad de confianza, y todas las aplicaciones conectadas aceptan esa autenticación en lugar de solicitarla de nuevo. Ese único punto de control también es importante para los administradores. Cuando un empleado abandona la empresa, al desactivar una sola cuenta del proveedor de identidad se revoca el acceso en todas partes de una sola vez, en lugar de que el departamento de TI tenga que localizar docenas de inicios de sesión.

Un menor número de contraseñas también supone una superficie de phishing más reducida: solo hay que proteger una credencial, que cuenta con una autenticación multifactorial (MFA) sólida, en lugar de tener que repartirlas entre distintos sistemas que quizá ni siquiera la admitan. Para las organizaciones que gestionan docenas de herramientas SaaS junto con sistemas locales, como Versa Director, el inicio de sesión único (SSO) es lo que hace posible, en primer lugar, una política de acceso centralizada.

¿Qué es el SSO?

El SSO funciona separando la autenticación de las aplicaciones que la necesitan. Un proveedor de identidad (IdP) —como Okta, Azure AD, ADFS, OneLogin o Ping Identity— almacena las credenciales del usuario y lleva a cabo el inicio de sesión. Cuando un usuario accede a una aplicación (el proveedor de servicios) sin una sesión activa, esta le redirige al IdP, que verifica su identidad y emite una aserción firmada o un token que confirma quién es y qué roles tiene. El proveedor de servicios valida esa aserción y concede el acceso sin ver la contraseña.

Dos estándares se encargan de la mayor parte de este tráfico. SAML es un protocolo basado en XML diseñado para el inicio de sesión único (SSO) en el navegador, que intercambia aserciones firmadas entre el proveedor de identidad (IdP) y el proveedor de servicios. OpenID Connect es un protocolo más reciente, basado en tokens y desarrollado a partir de OAuth 2.0. Ambos persiguen el mismo objetivo —un único inicio de sesión para múltiples aplicaciones— mediante diferentes formatos de mensaje.

Tipos de SSO

Las implementaciones de SSO varían en dos aspectos: cómo se inicia el flujo y qué protocolo lo transporta. El SSO iniciado por el proveedor de servicios (iniciado por el SP) comienza cuando un usuario intenta acceder directamente a una aplicación; esta le redirige al IdP, que le autentica y le redirige de nuevo con una respuesta de inicio de sesión. El SSO iniciado por el proveedor de identidad (IdP) comienza en el portal del IdP: el usuario inicia sesión allí primero y, a continuación, abre una aplicación que confía en la respuesta de SSO que envía el IdP sin necesidad de una redirección previa. Los IdP empresariales suelen admitir ambas modalidades, que se eligen según el conector.

Por otra parte, el protocolo puede basarse en SAML, utilizando aserciones XML firmadas, o en OpenID Connect, utilizando tokens OAuth 2.0. Las organizaciones que utilizan un proveedor de identidad (IdP) estandarizado, como Okta o Azure AD, suelen admitir ambas opciones y eligen la más adecuada en función de cada aplicación.

SSO y Versa

Versa Director, Concerto y el portal Titan admiten el inicio de sesión único (SSO) como alternativa al inicio de sesión local con nombre de usuario y contraseña. Director admite el SSO basado tanto en SAML como en OpenID Connect, probado con ADFS, Okta, OneLogin y Ping Identity, con flujos iniciados tanto por el proveedor de servicios (SP) como por el proveedor de identidad (IdP), así como la asignación de roles de IdP a Director. Concerto admite los mismos dos protocolos, probados con ADFS, Azure, Okta y Ping Identity, con flujos separados para usuarios del sistema y de los inquilinos. Titan Portal, el portal para distribuidores de Versa, admite el SSO basado en SAML, probado con ADFS, Azure AD, G-Suite, Okta y OneLogin, y admite tanto a cualquier usuario autenticado por el IdP como solo a los usuarios ya provisionados localmente. El SSO se habilita en lugar de —y no junto con— la autenticación de dos factores.

Preguntas frecuentes

¿Cuál es la diferencia entre el inicio de sesión único (SSO) y la autenticación multifactorial?

El SSO y la MFA resuelven problemas distintos. El SSO reduce el número de veces que un usuario tiene que iniciar sesión: con un solo inicio de sesión se accede a muchas aplicaciones. La MFA refuerza cada inicio de sesión con un segundo factor, además de la contraseña. Son complementarios: el SSO concentra la autenticación en el proveedor de identidad, lo que facilita aplicar la MFA allí en lugar de en cada aplicación.

¿Cuál es la diferencia entre el inicio de sesión único (SSO) y la identidad federada?

El SSO suele referirse a un único inicio de sesión en las aplicaciones de una misma organización. La identidad federada amplía ese concepto a organizaciones distintas; por ejemplo, iniciar sesión en el portal de un socio utilizando el proveedor de identidad de la propia empresa como punto de referencia de confianza. La federación es lo que hace posible el SSO entre organizaciones.

¿Cuál es la diferencia entre el SSO iniciado por el SP y el iniciado por el IdP?

El SSO iniciado por el SP comienza cuando un usuario abre una aplicación directamente y es redirigido al proveedor de identidad para autenticarse. El SSO iniciado por el IdP comienza en el portal del proveedor de identidad, donde el usuario inicia una aplicación en la que ya confía sin necesidad de una redirección previa. La mayoría de los IdP empresariales admiten ambas modalidades.

¿El SSO hace que una cuenta sea más vulnerable si se filtra la contraseña?

Es posible, ya que una sola credencial comprometida del proveedor de identidad podría dar acceso a todas las aplicaciones conectadas. Por eso, las implementaciones de SSO deben ir acompañadas de una autenticación multifactorial (MFA) sólida en el proveedor de identidad: concentrar la autenticación en un único lugar solo es más seguro si ese lugar está bien protegido.

¿ Versa , Director y Concerto son compatibles con los mismos protocolos SSO?

Sí. Ambos admiten el inicio de sesión único (SSO) basado en SAML y en OpenID Connect, configurado como un conector con metadatos del proveedor de identidad (IdP), como certificados y URL de puntos finales. El portal Titan , el portal independiente para distribuidores de Versa, solo admite el SSO basado en SAML. Los tres se han probado con proveedores de identidad como Okta, ADFS, Azure AD y Ping Identity.

Más información sobre el SSO

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre el SSO, te conviene echar un vistazo a lo siguiente.