Un inicio de sesión para muchas aplicaciones

Con inicio de sesión único (SSO, por sus siglas en inglés) la persona demuestra quién es una sola vez ante un proveedor de identidad. Cuando abre una aplicación, esta no le pide la contraseña: confía en el proveedor y recibe de él una afirmación firmada que dice quién es la persona y, si hace falta, algunos datos suyos. Los protocolos que llevan esa afirmación, SAML y OpenID Connect, se estudian en el módulo anterior; aquí interesa lo que cambia para quien opera la identidad.

Lo que cambia es dónde viven las decisiones. La contraseña, el segundo factor, el bloqueo por intentos y la baja de la persona ya no se deciden en cada aplicación sino en un solo sitio. Eso reduce lo que hay que vigilar, pero también concentra la importancia de ese sitio.

La tabla aplicaciones dice, para cada una de las ocho aplicaciones de Cumbres, cómo se entra: por SSO o con acceso local, que son las que guardan sus propios usuarios y contraseñas. Todo lo que está fuera del SSO queda fuera de lo que el proveedor de identidad decide: no hereda su segundo factor, no se apaga cuando la persona sale, no aparece en su registro.

Cuenta las aplicaciones de acceso local.

No todas las aplicaciones locales pesan lo mismo. Una con treinta usuarios que nadie controla centralmente es un problema mayor que otra con nueve. Para decidir por cuál empezar a migrar, se mira cuántas personas dependen de cada una.

Estar dentro del SSO no basta: lo que se gana es poder exigir el segundo factor en un solo lugar, y eso solo sirve si se exige. La columna mfa_exigido dice, para cada aplicación de SSO, si el proveedor de identidad pide segundo factor antes de dejar entrar. Una aplicación conectada al SSO que no lo exige tiene la comodidad del inicio único sin la protección que lo justifica.

El SSO concentra: si el proveedor de identidad falla o su administración se descuida, fallan o se descuidan todas las aplicaciones que cuelgan de él. No es un argumento contra el SSO, que sigue siendo mejor que ocho contraseñas distintas, sino contra tratarlo como una aplicación más.