Treba li vam još VPN lokacije kada aplikacija koristi mTLS i SSO?
Prođite kroz kanale koje prijava u aplikaciju nikada ne pokriva, pa odlučite je li pristup privatnoj mreži suvišan ili je još uvijek jedini put do hosta.
Prijavljujete se preko mTLS-a, kontrolna tabla se učita, a tvrdnja da je VPN lokacije sada suvišan zvuči razumno otprilike onoliko dugo koliko treba da vam u dva sata ujutro zatreba vraćanje baze podataka. TLS granica aplikacije opisuje jedan kanal. Host, baza podataka, odredište rezervne kopije i cloud račun nose svaki svoju putanju ulaska, svoj identitet i svog odobravaoca, i nijedan od njih se ne provjerava uspješnom prijavom.
Krenite prema van od ekrana za prijavu
Prijavite se kao običan korisnik i zapišite svaki korak koji zahtjev dotakne: preglednik, rub, slušalac aplikacije, spremište sesija, backend API. Svaki korak ima vlasnika i odluku o autentifikaciji. Sada ponovite put za osobu koja krpi host i za posao koji piše noćnu rezervnu kopiju. Ti se putevi obično razdvoje već na prvom koraku.
To razdvajanje je pitanje na koje vrijedi odgovoriti. VPN lokacije je suvišan samo kada svaki kanal u tom drugom prolazu ima politiku ulaska i autorizacije koja stoji sama za sebe.
Pet kanala koje prijava u aplikaciju nikada ne pokriva
Tabela ispod je predložak za popis, a ne kontrolna lista za postavljanje. Popunite drugu kolonu onim što vaše okruženje danas zaista provodi.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Dijeljenje pružaoca identiteta ne spaja ove autorizacije. Korisnik koji smije poslati API zahtjev time nije ovlašten zamijeniti disk virtuelne mašine ni vratiti bazu podataka pomoću akreditiva aplikacije. NIST u sažetku arhitekture nultog povjerenja upravo zbog toga drži autentifikaciju i autorizaciju resursa odvojeno od mrežne lokacije.
Inženjer podrške koji može pročitati tiket time nije ovlašten otvoriti konzolu na hostu iza njega.
Putanja je stvarna samo ako alternativa ostane zatvorena
Ograničavanje dostupnosti na privatne administrativne slušaoce legitimna je zamjena za VPN lokacije, pod uslovom da se ograničenje provodi, a ne samo crta. Uobičajeni neuspjeh je alternativni slušalac kojeg se nitko nije sjetio: servis koji je još vezan za sve interfejse, pravilo sigurnosne grupe otvoreno za izvođača, upravljački port dostupan s interneta.
Provjeravajte slušaoce, a ne dijagrame. Na hostu popišite šta je zaista vezano pomoću ss -ltnp i potvrdite da administrativni portovi sjede na privatnoj adresi. U cloud konzoli pročitajte dolazna pravila za podmrežu radnog opterećenja i potražite 0.0.0.0/0 na bilo čemu administrativnom. Zatim isprobajte vezu izvan privatne putanje, jer taj test je onaj koji odgovara na pitanje.
Jedno pravilo otvoreno cijelom svijetu na SSH-u poništava svaki argument dizajna tunela.
Napišite mapu prije nego što uporedite dizajne
Za svaki red popisa zabilježite ko odobrava identitete, ko ažurira pravila pristupa, ko uklanja akreditive kada neko ode i ko se bavi oporavkom kada se sama putanja pokvari. Četiri imena po redu dovoljna su da razotkriju redove u kojima su odgovor zajednički račun i wiki stranica stara tri godine.
Zatim provjerite jedno dopuštenje i jedno odbijanje po kanalu. Dopuštenje dokazuje da predviđeni identitet može doći do resursa predviđenom putanjom. Odbijanje dokazuje da sličan identitet ne može, a to je test koji ljudi preskaču, zbog čega alternativni slušaoci preživljavaju revizije. Uporedite predloženi dizajn s ovim rezultatima, a ne s TLS konfiguracijom aplikacije, koja nikada nije provjerila nijedan od njih.
Gdje VPN lokacije još uvijek zaslužuje svoje mjesto
Tunel ili uski prolaz je pravi odgovor kada resurs nema vlastitu autentifikaciju po zahtjevu: portovi za održavanje baze podataka, odredišta rezervnih kopija, konzole hipervizora, izvanpojasno upravljanje. Ti slušaoci vjeruju mreži, pa mreža mora biti ta koja autentifikuje pozivaoca.
To nije jedini odgovor. Prolaz koji završava autorizaciju po resursu može biti uži od tunela preko cijele podmreže i ostavlja bolji revizijski trag od zajedničkog skakačkog hosta.
Redoslijed rada: dovršite popis, zatvorite alternative, provjerite jedno odbijanje po redu i tek onda povucite tunel. Ako neki red ne može proizvesti odbijanje, zadržite privatnu putanju dok ne može.