Single-Sign-On technology

Sore itu sehabis jam kerja, saya menyempatkan diri untuk mencoba fitur SSO di fortigate, setelah mencoba fitur ini gak ada yang spesial, menurut saya biasa-lah seperti kebanyakan fitur proxy yang lain. Sore itu saya tidak sendiri, ada Hesadrian (rekan kerja saya yang pegang oracle) saya minta tolong ke dia untuk setup satu server yang akan saya gunakan untuk mencoba fitur SSO di Fortigate. Ada Dicky (rekan kerja yang pegang Microsoft yang kebetulan belum pulang) dan ada Pak Piya (manager saya).

Saat itu secara spontan Pak Piya nanya ke kami, SSO itu fitur nya siapa sih? Proxy (karena saya lagi nyoba proxy) atau memang dia software yang berdiri sendiri? kami menjelaskan sesuai dengan background kami, saya sendiri karena seringnya config SSO di proxy, saya bilang itu salah satu fitur dari Proxy. Benar atau salah?

Menurut wikipedia SSO berarti ;

Single sign-on (SSO) is a property of access control of multiple related, but independent software systems. With this property a user logs in once and gains access to all systems without being prompted to log in again at each of them. Conversely, single sign-off is the property whereby a single action of signing out terminates access to multiple software systems.

Proxy mempunyai banyak fungsi, salah satunya adalah kita bisa memberlakukan rule otentikasi sebelum user membuat koneksi ke Internet. Kalimat mudahnya adalah sebelum anda bisa internet-an, maka anda akan di minta memasukan credential (username & password) terlebih dahulu. Banyak perusahaan yang ingin membuat rule seperti ini hanya mereka ingin membuat pengecualian bagi device-device internal (PC, Laptop). Banyak perusahaan pula yang sudah menggunakan Active Directory (AD) atau Domain controller (DC) sehingga semua device internal join ke domain perusahaan. Sehingga pengguna PC/Laptop harus memasukkan username dan password mereka sebelum bisa mengoperasikan PC/laptop mereka. dan tentu saja username dan password ini sudah teregister di AD.

Fitur SSO di proxy mencoba mendeteksi, jika pengguna PC ini sudah terdaftar di AD maka dia tidak perlu lagi memasukkan username dan password ketika melakukan koneksi ke Internet. That's why di sebut Single-Sign-On, otentikasi pengguna ketika login ke PC sekaligus digunakan sebagai otentikasi ketika melakukan koneksi ke Internet.

Apakah anda punya akun Google? Ketika anda sudah masuk ke gmail google tidak akan menanyakan lagi username dan password ketika anda buka GooglePlus, Youtube dan semua web yang berhubungan dengan google. Google sudah meng-implementasikan SSO.

So, SSO is not a product, ini adalah technology yang bisa di implementasikan dalam berbagai system :)

Bagaimana SSO pada web-service jika di lihat dari segi security?

SSO ini memudahkan, hal ini tidak bisa di pungkiri karena hanya dengan satu akun, kita bisa melakukan login ke beberara system yang berbeda. Tetapi yang harus kita pikirkan adalah dimana akun ini di simpan? Amankah?

Fenomena yang menarik adalah banyak sekali website yang menyediakan fitur one-click connect. Misalnya dengan akun OpenID, facebook yang kita miliki, kita bisa login ke beberapa website sekaligus. Tentu ini harus menjadi concern, saya tentu tidak melarang penggunaannya, hanya saja kita harus pandai-pandai dalam menggunakannya. Facebook merupakan media social dimana semua orang bisa berinteraksi. Data kita hampir pasti di ketahui orang lain, dan itu tentu merupakan celah keamanan tersendiri. Anda bisa bilang, "password saya sangat susah bahkan saya sendiri kesulitan menghafalnya". Anda harus berpikir dua kali karena fan page Mark Zuckerberg aja pernah di hack.

Ok segitu dulu, be wise dalam menggunakan SSO, apalagi jika menggunakan akun media sosial. Tentu kita tidak ingin jika ada orang lain menggunakan identitas kita saat melakukan perbuatan yang tidak menyenangkan.