Single sign-on (SSO) vereenvoudigt het inloggen door gebruikers met één set inloggegevens toegang te geven tot meerdere systemen. Hoewel dit voordelen biedt voor het authenticatieproces, kan deze gebruiksvriendelijkheid ook risico's concentreren, zoals bleek uit de inbreuk bij de Universiteit van Pennsylvania in 2025. Volgens rapporten wisten aanvallers een PennKey SSO-account te compromitteren en via die toegang interne systemen te bereiken, waaronder VPN, Salesforce, Qlik, SAP en SharePoint. Deze aanval resulteerde in de diefstal van gegevens van 1,2 miljoen personen.

Dit betekent niet dat SSO onveilig is. Bij correcte configuratie en bescherming kan SSO juist de beveiliging verbeteren door het verminderen van wachtwoordverspreiding, het centraliseren van toegangsbeleid en het eenvoudiger afdwingen van multi-factor authenticatie (MFA). Organisaties profiteren echter alleen van deze voordelen wanneer SSO als een cruciale beveiligingsmaatregel wordt behandeld. Als één login toegang geeft tot meerdere systemen, moet die login robuust worden beschermd.

Om te bepalen of een SSO-login voldoende beveiligd is, moeten organisaties verder kijken dan alleen of SSO is ingeschakeld en zich richten op de wijze van beveiliging. Begin met sterke SSO-wachtwoorden. Het advies om sterke wachtwoorden te gebruiken is niet nieuw, maar des te belangrijker wanneer één credential meerdere systemen ontsluit. Sterk hoeft niet frustrerend te zijn; SSO is immers ontworpen om authenticatie soepel te laten verlopen. De nieuwste richtlijnen van NIST leggen de nadruk op lengte en gebruiksvriendelijkheid, gecombineerd met het screenen op zwakke of gecompromitteerde wachtwoorden. Voor scenario's waar enkelvoudige wachtwoorden nog acceptabel zijn, adviseert NIST minimaal 15 tekens. Wachtwoorden in combinatie met MFA moeten minstens acht tekens bevatten, en systemen moeten gebruikers toestaan wachtwoorden tot 64 tekens te maken. Ook raadt NIST aan nieuwe wachtwoorden te controleren aan de hand van lijsten met veelgebruikte, voorspelbare of eerder gelekte wachtwoorden. Legacy regels zoals verplichte complexiteit en routinematige wachtwoordwissels worden afgeraden omdat ze voorspelbare patronen kunnen stimuleren.

Naast sterke wachtwoorden is MFA essentieel om aanvallen te weerstaan. Infostealers maken het voor aanvallers steeds eenvoudiger om wachtwoorden en andere authenticatiegegevens te verzamelen, waarbij ook wachtwoorden die aan regelgeving voldoen regelmatig in dumps verschijnen. MFA voegt een extra beveiligingslaag toe, waardoor het lastiger wordt om met een gecompromitteerd wachtwoord succesvol in te loggen. Voor SSO moet MFA consequent worden toegepast, over alle gebruikers, applicaties en toegangsscenario's, en niet alleen bij enkele 'hoog-risico' accounts. Ook is het belangrijk te kijken naar het type MFA. Sms-codes en eenvoudige eenmalige wachtwoorden zijn beter dan alleen een wachtwoord, maar vormen niet de sterkste optie. Organisaties wordt aangeraden waar mogelijk over te stappen op phishing-bestendige methoden zoals FIDO2-beveiligingssleutels, WebAuthn of passkeys, vooral voor gebruikers met uitgebreide rechten en toegang tot gevoelige systemen.