Pam na all un OTP gwmpasu Wi-Fi, VPN a chofrestr

Mae mewngofnodi unigol yn addo un hunaniaeth a llai o anogiadau, ond mae’r addewid yn torri ar y trydydd protocol. Y trap yw tybio bod un dilysiad llwyddiannus yn cynhyrchu tocyn y gall pob protocol arall ei gyflwyno. Mae derbyniad Wi-Fi, mynediad VPN a chofrestr gynwysyddion yn cynnal cyfnewidiad gwahanol bob un, gyda chynulleidfaoedd ac oesau gwahanol. Penderfyniad cyfeiriadur yw rhannu’r cyfrif; penderfyniad protocol yw rhannu’r cymhwyster, ac anaml y cytuna’r protocolau.

Tri chyfnewidiad, tri pherchennog

Mae Wi-Fi menter yn rhedeg dull EAP y tu mewn i 802.1X, a derfynir ef fel arfer gan wasanaeth RADIUS sydd â’i olwg ei hun ar y defnyddiwr neu’r ddyfais. Mae porth VPN yn dilysu drwy ei fflŵd ei hun ac yna’n cadw sesiwn gyda’i amserydd ailddilysu ei hun. Mae cofrestr yn ateb cais heb ddilysiad â her sy’n enwi gwasanaeth tocynnau, cynulleidfa ac amrediad, ac mae’r cleient yn cyfnewid ei gymhwyster am docyn byrhoedlog.

Nid tair golygfa o un sesiwn yw’r rhain. Mae gan bob un ei wiriadur ei hun, ei oes ei hun a’i lwybr dirymu ei hun, a dyna pam y gall newid cyfrinair yn y cyfeiriadur adael un yn gweithio a’r llall yn doredig. Triniwch hwy fel tair integreiddiad sy’n digwydd rhannu cyfeiriadur defnyddwyr.

Yr hyn y mae SSO porwr yn ei gario a’r hyn nad yw

Mae sesiwn porwr mewn darparwr hunaniaeth yn wirioneddol ddefnyddiol: mae cymwysiadau sy’n ailgyfeirio ato yn etifeddu’r mewngofnodi y mae’r defnyddiwr eisoes wedi’i gwblhau. Mae hynny’n gweithio oherwydd bod y cymwysiadau hynny’n siarad yr un protocolau ailgyfeirio a thocynnau ac yn derbyn yr un gynulleidfa. Nid oes gan ymofynnydd sy’n siarad EAP unrhyw ailgyfeiriad i’w ddilyn, ac nid yw cleient Docker sy’n derbyn her cofrestr yn gofyn am docyn hunaniaeth OIDC. Ni all y darparwr hunaniaeth ateb ond dros brotocolau y cafodd ei adeiladu i’w siarad.

Mae’r methiant yn hawdd i’w weld yn y logiau unwaith y gwyddost ble i edrych. Mae’r darparwr hunaniaeth yn adrodd am fewngofnodi llwyddiannus tra bod y cysylltiad Wi-Fi yn dal i fethu, neu’r gofrestr yn dychwelyd 401 ar ôl cyfnewidiad tocyn na welodd y porwr mohono. Nid gwrthddweud yw dau lwyddiant ac un methiant; tair dilysiad ar wahân ydynt.

Lle mae tystysgrif yn disodli cod ailadroddus

Ar gyfer dyfeisiau wedi’u rheoli, mae EAP sy’n seiliedig ar dystysgrif yn tynnu’r cam dynol heb dynnu hunaniaeth: mae’r ddyfais yn cyflwyno tystysgrif, mae’r gwasanaeth RADIUS yn ei gwirio yn erbyn yr awdurdod dyroddi, ac mae dirymu’n digwydd yn yr awdurdod hwnnw yn hytrach nag mewn cyfrinach a rennir. Y gydbwysedd yw gwaith cylch bywyd, oherwydd mae tystysgrifau’n dod i ben a rhaid eu hadnewyddu cyn hynny.

Mae gan gofrestri raniad cyfatebol. Gall defnyddiwr rhyngweithiol fewngofnodi unwaith a gadael i gynorthwyydd cymwysterau storio’r tocyn canlyniadol, tra dylai awtomeiddio ddefnyddio cymhwyster gwasanaeth â chwmpas cul neu hunaniaeth llwyth gwaith. Ni ddylai’r naill na’r llall fod yn god untro dyn wedi’i gopïo i bibell. Mae’r cynorthwyydd yn storio tocyn ar gyfer cynulleidfa gofrestr benodol, felly ni ellir ei ailgyfeirio at borth VPN drwy olygu ffeil ffurfweddu.

docker login registry.example.com

Cymharwch y gost cynnal, nid y nifer o anogiadau

Mae cymhwyster a rennir yn edrych yn rhad oherwydd mae’r gwaith yn anweladwy nes iddo fethu. Cyfrifwch yn lle hynny beth mae pob opsiwn yn ei gostio dros flwyddyn: cofrestru, adnewyddu, dirymu, radiws effaith gollyngiad, a nifer y systemau a gyffyrddir pan fydd rhywun yn gadael. Mae fflyd o dystysgrifau’n costio mwy i’w hadeiladu a llai i’w gweithredu ar raddfa; nid yw cod wedi’i gopïo yn costio dim i’w ddechrau a phopeth i’w ddatod.

Yna dewiswch fesul coes yn hytrach nag yn fyd-eang. Gall Wi-Fi symud i dystysgrifau, gall y VPN gadw ei SSO a gefnogir gyda MFA, a gall y gofrestr ddefnyddio tocynnau ag amrediadau penodol. Cofnodwch y perchennog, y gynulleidfa, yr amrediad, y dyddiad dod i ben a’r llwybr dirymu ar gyfer pob un, a bydd yr anogiadau’n disgyn lle y dylent yn hytrach nag ym mhobman ar unwaith. Mae’r cofnod hwnnw hefyd yn ateb pan fydd archwilydd yn gofyn pa systemau sy’n dal i ymddiried mewn cyfrinair.