我不是在质疑SSO技术实现的安全性，而是要对用户进行培训，使其遵循一种潜在的不安全的访问模式。

背景

例如，如果您在组织中推出单点登录( SSO )提供商奥克塔，当用户访问某个服务的网站时，该服务将其重定向到Okta以进行身份验证，并且在成功登录之后，Okta将用户重定向回服务。

1. 用户打开example.com
2. example.com将用户重定向到okta.com以进行身份验证
3. 用户输入用户名、密码和OTP (一次性密码)。
4. okta.com将用户重定向到example.com

这太让人困惑了。迷惑的用户可能会被误导。

攻击

如果登陆页是假的呢？

1. 用户单击他们认为是example.com的链接，但实际上是在example.cc-server.com上。example.cc-server.com由恶意参与者拥有，但看起来与example.com非常相似。或者用户已经被告知，并且相信example.cc-server.com是一个合法的供应商，他们已经被公司注册，他们需要登录才能激活它。
2. cc-server.com将用户重定向到okta.cc-server.com，这与okta.com非常相似。
3. 用户输入用户名、密码和OTP。

要求用户总是先访问okta.com，然后从那里访问站点，这难道不是更有意义的吗？这样，用户将主动连接到站点，目的是登录，而不是响应输入凭据的提示。访问模式总是相同的，没有重定向，用户将更有可能识别修改后的URL。