Im Kern argumentiert der von Specops Software veröffentlichte Beitrag, dass die bloße Aktivierung von Single Sign-on nicht ausreicht. Organisationen müssten darauf schauen, wie der zentrale Anmeldeweg abgesichert ist. Gerade weil ein einzelnes Konto Zugang zu mehreren Systemen eröffnen kann, komme der Qualität der Zugangsdaten besondere Bedeutung zu.
Dabei verweist der Text auf aktuelle Vorgaben von NIST. Für Szenarien, in denen weiterhin Passwörter als Ein-Faktor-Authentifizierung zulässig sind, empfiehlt NIST mindestens 15 Zeichen. Werden Passwörter zusammen mit Multi-Faktor-Authentifizierung eingesetzt, sollen sie mindestens acht Zeichen lang sein; außerdem sollten Systeme Kennwörter mit bis zu 64 Zeichen zulassen. Neue Passwörter sollten laut NIST gegen Sperrlisten mit häufig verwendeten, erwartbaren oder bereits kompromittierten Kennwörtern geprüft werden.
Zugleich rät NIST laut dem Beitrag von überholten Passwortregeln ab, die in vielen Organisationen noch üblich sind. Verbindliche Komplexitätsvorgaben und regelmäßige erzwungene Passwortwechsel könnten Nutzer zu vorhersehbaren Mustern verleiten, etwa zum Austausch einer einzelnen Ziffer oder zum Anfügen eines Symbols am Ende. Als Beleg für die Relevanz gestohlener Zugangsdaten nennt der Beitrag den Data Breach Investigation Report von Verizon: Demnach waren gestohlene Zugangsdaten an 44,7 Prozent der Sicherheitsverletzungen beteiligt.
Ein starkes SSO-Passwort allein genügt nach Darstellung von Specops jedoch nicht. Infostealer hätten es Angreifern erleichtert, Passwörter und weitere Authentifizierungsinformationen abzugreifen; selbst Kennwörter, die regulatorische Anforderungen erfüllen, tauchten regelmäßig in solchen Protokollen auf. Deshalb müsse Multi-Faktor-Authentifizierung konsequent über Nutzer, Anwendungen und Zugriffsszenarien hinweg erzwungen werden, statt nur für einige wenige als risikoreich eingestufte Konten.
Specops hebt außerdem die Qualität des zweiten Faktors hervor. SMS-Codes und einfache Einmalpasswörter seien besser als Passwörter allein, aber nicht die stärkste Option. Wo immer möglich, sollten Organisationen auf phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel, WebAuthn oder Passkeys umsteigen, insbesondere für privilegierte Nutzer und den Zugriff auf sensible Systeme.
Zusätzlich rückt der Beitrag die Absicherung der Infrastruktur hinter dem SSO in den Vordergrund. Besonders kritisch seien Administratorkonten des Identity Providers. Diese Konten könnten Authentifizierungsrichtlinien ändern, Anwendungen hinzufügen, Nutzer anlegen oder zurücksetzen und Integrationen genehmigen. Laut Specops sollten sie mit phishing-resistenter MFA, getrennten Administratorkonten, Just-in-Time-Zugriff und enger Überwachung geschützt werden.
Ebenso streng zu kontrollieren seien Signaturzertifikate und Schlüssel. SAML-Zertifikate und Token-Signaturschlüssel sorgten dafür, dass Anwendungen dem Identity Provider vertrauen. Werden sie offengelegt oder missbraucht, könnten Angreifer sich als Nutzer ausgeben oder vertrauenswürdige Sitzungen missbrauchen. Der Beitrag empfiehlt daher, den Zugriff eng zu begrenzen, Änderungen mit Warnmeldungen zu versehen und Zertifikate vor Ablauf zu rotieren.
Die gleiche Aufmerksamkeit verlangt Specops für OAuth-Geheimnisse und zugehörige Zugangsdaten. Client Secrets, Anwendungsanmeldedaten und Refresh Tokens könnten Angreifern langlebigen Zugriff ermöglichen, teils ohne weitere interaktive Anmeldung. Sie sollten deshalb in einem Secrets Vault gespeichert, regelmäßig rotiert und App-Registrierungen auf übermäßige Berechtigungen überprüft werden. Außerdem empfiehlt der Beitrag, Einwilligungen und delegierte Berechtigungen zu prüfen, riskante Drittanbieter-App-Rechte einzuschränken, für sensible Berechtigungen die Freigabe durch Administratoren zu verlangen und veraltete oder überprivilegierte Freigaben zu entfernen.