Waarom een OTP nie Wi-Fi, VPN en 'n registry kan dek nie

Enkelmeldingsaanmelding belowe een identiteit en minder vrae, en die belofte breek by die derde protokol. Die strik is om aan te neem dat een suksesvolle verifikasie 'n token lewer wat elke ander protokol kan voorhou. Wi-Fi-toegang, VPN-intrede en 'n houer-registry voer elkeen 'n ander uitruiling uit, met verskillende gehore en leeftye. Om die rekening te deel is 'n gidsbesluit; om die geloofsbrief te deel is 'n protokolbesluit, en die protokolle stem selde saam.

Drie uitruilings, drie eienaars

Ondernemings-Wi-Fi voer 'n EAP-metode binne 802.1X uit, gewoonlik beëindig deur 'n RADIUS-diens met sy eie siening van die gebruiker of toestel. 'n VPN-gwapoort verifieer deur sy eie ondersteunde vloei en hou dan 'n sessie met sy eie herverifikasie-tydhouer. 'n Registry antwoord 'n onverifieerde versoek met 'n uitdaging wat 'n tokendiens, 'n gehoor en 'n omvang noem, en die kliënt ruil sy geloofsbrief vir 'n kortstondige token.

Dit is nie drie sienings van een sessie nie. Elkeen het sy eie verifieerder, sy eie leeftyd en sy eie herroepingspad, en daarom kan 'n wagwoordverandering in die gids een van hulle laat werk en 'n ander breek. Behandel hulle as drie integrasies wat toevallig 'n gebruikersgids deel.

Wat blaaier-SSO dra en nie dra nie

'n Blaaiersessie by 'n identiteitsverskaffer is werklik nuttig: toepassings wat daarheen herlei, erf die aanmelding wat die gebruiker reeds voltooi het. Dit werk omdat daardie toepassings dieselfde herleidings- en tokenprotokolle praat en dieselfde gehoor aanvaar. 'n Supplikant wat EAP praat, het geen herleiding om te volg nie, en 'n Docker-kliënt wat 'n registry-uitdaging ontvang, vra nie na 'n OIDC-identiteitstoken nie. Die identiteitsverskaffer kan net borg staan vir protokolle waarvoor hy gebou is.

Die fout is maklik om in die logs te sien sodra jy weet waar om te kyk. Die identiteitsverskaffer rapporteer 'n suksesvolle aanmelding terwyl die Wi-Fi-assosiasie steeds misluk, of die registry gee 401 ná 'n tokenuitruiling wat die blaaier nooit gesien het nie. Twee suksesse en een mislukking is nie 'n teenstrydigheid nie; dit is drie afsonderlike verifikasies.

Waar 'n sertifikaat 'n herhaalde kode vervang

Vir bestuurde toestelle verwyder sertifikaatgebaseerde EAP die menslike stap sonder om identiteit te verwyder: die toestel bied 'n sertifikaat aan, die RADIUS-diens kontroleer dit teen die uitreikende owerheid, en herroeping gebeur by daardie owerheid eerder as in 'n gedeelde geheim. Die ruil is lewensikluswerk, want sertifikate verval en moet voor dit gebeur vernuwe word.

Registries het 'n ekwivalente splitsing. 'n Interaktiewe gebruiker kan een keer aanmeld en 'n geloofsbriefhelper die resulterende token laat stoor, terwyl outomatisering 'n diensgeloofsbrief met 'n nou omvang of werklas-identiteit moet gebruik. Nie een moet 'n mens se eenmalige kode wees wat in 'n pyplyn gekopieer is nie. Die helper stoor 'n token vir 'n spesifieke registry-gehoor, so dit kan nie deur 'n konfigurasielêer na die VPN-gwapoort herrig word nie.

docker login registry.example.com

Vergelyk die onderhoudskoste, nie die aantal vrae nie

'n Gedeelde geloofsbrief lyk goedkoop omdat die werk onsigbaar is totdat dit faal. Tel eerder wat elke opsie oor 'n jaar kos: inskrywing, vernuwing, herroeping, die skokradius van 'n lek, en die aantal stelsels wat geraak word wanneer iemand vertrek. 'n Sertifikaatvloot kos meer om te bou en minder om op skaal te bedryf; 'n gekopieerde kode kos niks om te begin en alles om te ontrafel.

Kies dan per been eerder as globaal. Wi-Fi kan na sertifikate beweeg, die VPN kan sy ondersteunde SSO met MFA hou, en die registry kan tokens met eksplisiete omvangs gebruik. Teken die eienaar, gehoor, omvang, vervaldatum en herroepingspad vir elkeen aan, en die vrae val waar hulle moet pleks van oral gelyk. Daardie rekord is ook die antwoord wanneer 'n ouditeur vra watter stelsels nog 'n wagwoord vertrou.