Γιατί ένα OTP δεν αρκεί για Wi-Fi, VPN και ένα μητρώο

Η ενιαία σύνδεση υπόσχεται μία ταυτότητα και λιγότερες προτροπές, αλλά η υπόσχεση σπάει στο τρίτο πρωτόκολλο. Η παγίδα είναι να υποθέσει κανείς ότι μία επιτυχής πιστοποίηση παράγει διακριτικό που μπορεί να παρουσιάσει κάθε άλλο πρωτόκολλο. Η πρόσβαση Wi-Fi, η είσοδος VPN και ένα μητρώο εκτελούν καθένα μια διαφορετική ανταλλαγή, με διαφορετικά κοινά και διαρκειες ζωής. Το να μοιράζεσαι τον λογαριασμό είναι απόφαση καταλόγου· το να μοιράζεσαι το διαπιστευτήριο είναι απόφαση πρωτοκόλλου, και τα πρωτόκολλα σπάνια συμφωνούν.

Τρεις ανταλλαγές, τρεις ιδιοκτήτες

Το εταιρικό Wi-Fi εκτελεί μέθοδο EAP μέσα στο 802.1X, συνήθως τερματιζόμενη από υπηρεσία RADIUS που έχει τη δική της άποψη για τον χρήστη ή τη συσκευή. Μια πύλη VPN πιστοποιείται μέσω της δικής της υποστηριζόμενης ροής και έπειτα διατηρεί συνεδρία με δικό της χρονόμετρο επαναπιστοποίησης. Ένα μητρώο απαντά σε μη πιστοποιημένο αίτημα με πρόκληση που ονομάζει υπηρεσία διακριτικών, κοινό και εύρος, και ο πελάτης ανταλλάσσει το διαπιστευτήριό του με βραχύβιο διακριτικό.

Δεν είναι τρεις όψεις μιας συνεδρίας. Κάθε μία έχει τον δικό της επαληθευτή, τη δική της διάρκεια ζωής και τη δική της διαδρομή ανάκλησης, γι’ αυτό μια αλλαγή κωδικού στον κατάλογο μπορεί να αφήσει τη μία να λειτουργεί και την άλλη σπασμένη. Αντιμετωπίστε τις ως τρεις ενσωματώσεις που τυχαίνει να μοιράζονται κατάλογο χρηστών.

Τι μεταφέρει το SSO του προγράμματος περιήγησης και τι όχι

Μια συνεδρία προγράμματος περιήγησης σε πάροχο ταυτότητας είναι πραγματικά χρήσιμη: οι εφαρμογές που ανακατευθύνουν εκεί κληρονομούν τη σύνδεση που έχει ήδη ολοκληρώσει ο χρήστης. Αυτό λειτουργεί επειδή αυτές οι εφαρμογές μιλούν τα ίδια πρωτόκολλα ανακατεύθυνσης και διακριτικών και δέχονται το ίδιο κοινό. Ένας αιτών που μιλά EAP δεν έχει ανακατεύθυνση να ακολουθήσει, και ένας πελάτης Docker που λαμβάνει πρόκληση μητρώου δεν ζητά διακριτικό ταυτότητας OIDC. Ο πάροχος ταυτότητας μπορεί να εγγυηθεί μόνο για πρωτόκολλα για τα οποία χτίστηκε.

Η αποτυχία φαίνεται εύκολα στα αρχεία καταγραφής μόλις ξέρετε πού να κοιτάξετε. Ο πάροχος ταυτότητας αναφέρει επιτυχή σύνδεση ενώ η συσχέτιση Wi-Fi ακόμη αποτυγχάνει, ή το μητρώο επιστρέφει 401 μετά από ανταλλαγή διακριτικού που το πρόγραμμα περιήγησης δεν είδε ποτέ. Δύο επιτυχίες και μία αποτυχία δεν είναι αντίφαση· είναι τρεις ξεχωριστές πιστοποιήσεις.

Πού ένα πιστοποιητικό αντικαθιστά έναν επαναλαμβανόμενο κωδικό

Για διαχειριζόμενες συσκευές, το EAP με πιστοποιητικά αφαιρεί το ανθρώπινο βήμα χωρίς να αφαιρεί την ταυτότητα: η συσκευή παρουσιάζει πιστοποιητικό, η υπηρεσία RADIUS το ελέγχει έναντι της εκδότριας αρχής, και η ανάκληση γίνεται σε εκείνη την αρχή αντί σε κοινό μυστικό. Το αντάλλαγμα είναι εργασία κύκλου ζωής, γιατί τα πιστοποιητικά λήγουν και πρέπει να ανανεωθούν πριν συμβεί αυτό.

Τα μητρώα έχουν αντίστοιχη διάσπαση. Ένας διαδραστικός χρήστης μπορεί να συνδεθεί μία φορά και να αφήσει ένα βοηθητικό διαπιστευτηρίων να αποθηκεύσει το διακριτικό που προκύπτει, ενώ η αυτοματοποίηση θα έπρεπε να χρησιμοποιεί διαπιστευτήριο υπηρεσίας στενού εύρους ή ταυτότητα φόρτου εργασίας. Κανένα από τα δύο δεν θα έπρεπε να είναι ο κωδικός μίας χρήσης ενός ανθρώπου αντιγραμμένος σε αγωγό. Το βοηθητικό αποθηκεύει διακριτικό για συγκεκριμένο κοινό μητρώου, οπότε δεν μπορεί να ανακατευθυνθεί στην πύλη VPN με επεξεργασία αρχείου ρυθμίσεων.

docker login registry.example.com

Συγκρίνετε το κόστος συντήρησης, όχι τον αριθμό των προτροπών

Ένα κοινό διαπιστευτήριο φαίνεται φθηνό γιατί η εργασία είναι αόρατη μέχρι να αποτύχει. Μετρήστε αντί γι’ αυτό τι κοστίζει κάθε επιλογή σε ένα έτος: εγγραφή, ανανέωση, ανάκληση, την ακτίνα επιπτώσεων μιας διαρροής και τον αριθμό συστημάτων που αγγίζονται όταν φεύγει κάποιος. Ένας στόλος πιστοποιητικών κοστίζει περισσότερο στην κατασκευή και λιγότερο στη λειτουργία σε κλίμακα· ένας αντιγραμμένος κωδικός δεν κοστίζει τίποτα στην αρχή και τα πάντα στο ξετύλιγμα.

Στη συνέχεια επιλέξτε ανά σκέλος και όχι συνολικά. Το Wi-Fi μπορεί να περάσει σε πιστοποιητικά, το VPN μπορεί να κρατήσει το υποστηριζόμενο SSO με MFA, και το μητρώο μπορεί να χρησιμοποιεί διακριτικά με ρητά εύρη. Καταγράψτε ιδιοκτήτη, κοινό, εύρος, λήξη και διαδρομή ανάκλησης για καθένα, και οι προτροπές θα πέσουν εκεί που πρέπει αντί παντού ταυτόχρονα. Αυτή η καταγραφή είναι επίσης η απάντηση όταν ένας ελεγκτής ρωτά ποια συστήματα εξακολουθούν να εμπιστεύονται κωδικό πρόσβασης.