Per què un sol OTP no pot cobrir Wi-Fi, VPN i un registre

L’inici de sessió únic promet una identitat i menys sol·licituds, però la promesa es trenca al tercer protocol. El parany és suposar que una autenticació correcta produeix un testimoni que qualsevol altre protocol pugui presentar. L’accés a Wi-Fi, l’entrada a la VPN i un registre de contenidors fan cadascun un intercanvi diferent, amb audiències i vides útils diferents. Compartir el compte és una decisió de directori; compartir la credencial és una decisió de protocol, i els protocols rares vegades coincideixen.

Tres intercanvis, tres propietaris

El Wi-Fi empresarial executa un mètode EAP dins de 802.1X, normalment acabat per un servei RADIUS que té la seva pròpia visió de l’usuari o del dispositiu. Una passarel·la VPN s’autentica mitjançant el seu propi flux compatible i després manté una sessió amb el seu propi temporitzador de reautenticació. Un registre respon una petició no autenticada amb un repte que nomena un servei de testimonis, una audiència i un abast, i el client intercanvia la seva credencial per un testimoni de curta vida.

No són tres visions d’una sola sessió. Cada una té el seu verificador, la seva vida útil i la seva via de revocació, i per això un canvi de contrasenya al directori pot deixar-ne un funcionant i un altre trencat. Tracteu-los com tres integracions que casualment comparteixen un directori d’usuaris.

Què porta l’SSO del navegador i què no

Una sessió de navegador en un proveïdor d’identitat és realment útil: les aplicacions que hi redirigeixen hereten l’inici de sessió que l’usuari ja ha completat. Això funciona perquè aquestes aplicacions parlen els mateixos protocols de redirecció i de testimonis i accepten la mateixa audiència. Un suplicant que parla EAP no té cap redirecció a seguir, i un client de Docker que rep un repte del registre no demana un testimoni d’identitat OIDC. El proveïdor d’identitat només pot avalar els protocols per als quals es va construir.

La fallada és fàcil de veure als registres quan saps on mirar. El proveïdor d’identitat informa d’un inici de sessió correcte mentre l’associació Wi-Fi encara falla, o el registre retorna 401 després d’un intercanvi de testimoni que el navegador no va veure mai. Dos èxits i una fallada no són una contradicció; són tres autenticacions separades.

On un certificat substitueix un codi repetit

Per als dispositius gestionats, l’EAP basat en certificats elimina el pas humà sense eliminar la identitat: el dispositiu presenta un certificat, el servei RADIUS el comprova contra l’autoritat emissora, i la revocació passa en aquesta autoritat i no en un secret compartit. El preu és feina de cicle de vida, perquè els certificats caduquen i s’han de renovar abans que ho facin.

Els registres tenen una divisió equivalent. Un usuari interactiu pot iniciar sessió un cop i deixar que un assistent de credencials desi el testimoni resultant, mentre que l’automatització hauria d’usar una credencial de servei d’abast estret o una identitat de càrrega de treball. Cap de les dues no hauria de ser el codi d’un sol ús d’una persona copiat en una canonada. L’assistent desa un testimoni per a una audiència concreta del registre, així que no es pot redirigir a la passarel·la VPN editant un fitxer de configuració.

docker login registry.example.com

Compareu el cost de manteniment, no el nombre de sol·licituds

Una credencial compartida sembla barata perquè la feina és invisible fins que falla. Compteu en canvi què costa cada opció durant un any: alta, renovació, revocació, el radi d’impacte d’una filtració i el nombre de sistemes tocats quan algú marxa. Una flota de certificats costa més de construir i menys d’operar a escala; un codi copiat no costa res d’iniciar i ho costa tot de desfer.

Després trieu per tram i no globalment. El Wi-Fi pot passar a certificats, la VPN pot mantenir el seu SSO compatible amb MFA, i el registre pot usar testimonis amb abasts explícits. Anoteu el propietari, l’audiència, l’abast, la caducitat i la via de revocació de cada un, i les sol·licituds cauran on toca en lloc d’arreu alhora. Aquest registre és també la resposta quan un auditor pregunta quins sistemes encara confien en una contrasenya.