Ein internationales Forschungsteam bestehend aus Tommaso Innocenti, Louis Jannett, Christian Mainka, Vladislav Mladenov und Engin Kirda hat im Paper „Only as Strong as the Weakest Link: On the Security of Brokered Single Sign-On on the Web“ kritische Schwachstellen in Single Sign-On Login Verfahren aufgedeckt. Das Paper wurde zur Präsentation auf dem IEEE Symposium on Security and Privacy 2025 in San Francisco akzeptiert, das vom 12. bis 15. Mai 2025 stattfinden wird.
Was ist Single Sign-On (SSO)?
Single Sign-On (SSO) ist ein Authentifizierungsverfahren, das es Nutzern ermöglicht, sich mit nur einem Login und Passwort auf verschiedenen Webseiten anzumelden. Anstatt sich für jeden Dienst einzeln registrieren und ein Passwort merken zu müssen, loggt sich der Nutzer einmal ein und kann dann mehrere Webseiten nutzen, die diese Anmeldung akzeptieren. Bekannte Anbieter solcher SSO-Dienste, sogenannte Identity Provider (IdPs), sind große Plattformen wie Google, Apple und Facebook, die den Nutzern die Option bieten, sich über ihre Konten auf Drittanbieter-Webseiten anzumelden.
Brokered SSO: Eine neue Ebene im Authentifizierungsprozess
Bei traditionellen SSO-Systemen gibt es drei Akteure: den Nutzer, die Webseite und den Identity Provider (z.B. Google). Der Nutzer initiiert die Anmeldung auf der Webseite, die ihn daraufhin an den IdP weiterleitet, der die Authentifizierung übernimmt und die Anmeldedaten zurück zur Webseite schickt.
In den letzten Jahren hat sich jedoch ein weiterer Ansatz etabliert: Brokered SSO. Hier wird ein zusätzlicher Akteur, der sogenannte Broker, in den Prozess eingefügt. Dieser Broker vermittelt zwischen Webseite und IdP und ermöglicht es Webseiten, auf verschiedene IdPs zuzugreifen. Ein Broker kann so mehrere IdPs gleichzeitig unterstützen und erleichtert die Anbindung für Webseitenbetreiber, da sie nur eine Schnittstelle zum Broker benötigen und nicht jede IdP-Integration separat pflegen müssen. Bekannte Broker sind beispielsweise Auth0 und Amazon Cognito.
Sicherheitsrisiken und entdeckte Schwachstellen
Während Brokered SSO die Integration vereinfacht, bringt es erhebliche Sicherheitsrisiken mit sich, wie das Forschungsteam aufgedeckt hat. Da der Broker als weiterer Akteur zwischen IdP und Webseite steht, wird dieser zu einem potenziellen Schwachpunkt in der Kette. Das Paper zeigt, dass Brokered SSO in vielen Fällen anfällig für Angriffe ist, insbesondere wenn der Broker die Weiterleitungen nicht ausreichend absichert. Die Forscher entdeckten mehrere Arten von Schwachstellen:
- Schwachstellen in der Umleitung: Der Broker kann fehlerhafte Umleitungen verursachen. Ein Angreifer könnte etwa manipulierte Anfragen in den Anmeldeprozess einfügen und dadurch auf sensible Daten zugreifen.
- Unzureichende Zugriffsrechte: In einigen Fällen konnten die Forscher aufzeigen, dass Broker ohne ausreichende Berechtigungen Zugriff auf Nutzerdaten erhielten. Dies führt dazu, dass ein Angreifer durch den Broker unbefugten Zugriff auf Konten und Daten von Nutzern erlangen kann.
- Sicherheitsprotokolle und -praktiken: Das Team fand heraus, dass viele Broker Sicherheitsrichtlinien missachten, was zu zusätzlichen Angriffsmöglichkeiten führt.
Das Forschungsteam untersuchte über 50 Broker und fand kritische Schwachstellen, die die Sicherheit von Anmeldungen in über 2.000 Webseiten gefährden. Diese Forschungsergebnisse zeigen, dass der zunehmende Einsatz von SSO-Diensten zwar die Benutzerfreundlichkeit erhöht, jedoch gleichzeitig hohe Anforderungen an die Sicherheit stellt.