Proč jeden OTP nepokryje Wi-Fi, VPN a registry

Jednotné přihlášení slibuje jednu identitu a méně výzěv, ale slib se láme u třetího protokolu. Past je předpoklad, že jedna úspěšná autentizace vytvoří token, který může předložit každý další protokol. Přístup do Wi-Fi, vstup do VPN a registry kontejnerů vedou každý jinou výměnu, s různým publikem a životností. Sdílení účtu je rozhodnutí adresáře; sdílení přihlašovacích údajů je rozhodnutí protokolu, a protokoly se málokdy shodnou.

Tři výměny, tři vlastníci

Podnikové Wi-Fi spouští metodu EAP uvnitř 802.1X, obvykle ukončenou službou RADIUS, která má vlastní pohled na uživatele nebo zařízení. Brána VPN se autentizuje vlastním podporovaným tokem a poté drží relaci s vlastním časovačem opětovné autentizace. Registry odpovídá na neautentizovaný požadavek výzvou, která jmenuje službu tokenů, publikum a rozsah, a klient vymění své přihlašovací údaje za krátkodobý token.

Nejsou to tři pohledy na jednu relaci. Každý má svůj vlastní ověřovač, svou životnost a svou cestu odvolání, a proto může změna hesla v adresáři nechat jeden z nich funkční a jiný rozbitý. Berte je jako tři integrace, které náhodou sdílejí uživatelský adresář.

Co SSO v prohlížeči přenese a co ne

Relace v prohlížeči u poskytovatele identity je opravdu užitečná: aplikace, které na něj přesměrúí, dědí přihlášení, které uživatel už dokončil. Funguje to proto, že tyto aplikace mluví stejnými protokoly přesměrování a tokenů a přijímají stejné publikum. Žadatel, který mluví EAP, nemá žádné přesměrování k následování, a klient Dockeru, který dostane výzvu registry, nežádá identitní token OIDC. Poskytovatel identity může ručit jen za protokoly, pro které byl postaven.

Selhání je v záznamech snadno vidět, jakmile víte, kam se dívat. Poskytovatel identity hlásí úspěšné přihlášení, zatímco přidružení k Wi-Fi stále selhává, nebo registry vrátí 401 po výměně tokenu, kterou prohlížeč nikdy neviděl. Dva úspěchy a jedno selhání nejsou rozpor; jsou to tři samostatné autentizace.

Kde certifikát nahradí opakovaný kód

U spravovaných zařízení EAP založený na certifikátech odstraňuje lidský krok, aniž by odstraňoval identitu: zařízení předloží certifikát, služba RADIUS jej ověří u vydávající autority a odvolání proběhne u této autority, nikoli ve sdíleném tajemství. Cenou je práce s životním cyklem, protože certifikáty vyprší a musí být obnoveny dřív, než se tak stane.

Registry mají odpovídající rozdělení. Interaktivní uživatel se může přihlásit jednou a nechat pomocníka pro přihlašovací údaje uložit výsledný token, zatímco automatizace by měla použít úzce vymezené servisní údaje nebo identitu pracovní zátěže. Ani jedno by neměl být jednorázový kód člověka zkopírovaný do pipeline. Pomocník ukládá token pro konkrétní publikum registry, takže jej nelze přesměrovat na bránu VPN úpravou konfiguračního souboru.

docker login registry.example.com

Porovnejte náklady na údržbu, ne počet výzěv

Sdílené přihlašovací údaje vypadají levně, protože práce je neviditelná, dokud něco neselže. Spočítejte místo toho, co každá možnost stojí za rok: registrace, obnova, odvolání, dosah úniku a počet systémů dotčených, když někdo odejde. Flotila certifikátů stojí více na vybudování a méně na provoz ve velkém; zkopírovaný kód nestojí nic na začátek a všechno na rozmotání.

Potom vybírejte pro každou část zvlášť, ne globálně. Wi-Fi může přejít na certifikáty, VPN může zachovat podporované SSO s MFA a registry může používat tokeny s explicitními rozsahy. Zaznamenejte vlastníka, publikum, rozsah, vypršení a cestu odvolání pro každou z nich, a výzvy dopadnou tam, kam mají, místo všude najednou. Tento záznam je také odpovědí, když se auditor ptá, které systémy stále důvěřují heslu.