Zergatik OTP bakarra ez den nahikoa Wi-Fi, VPN eta erregistro baterako

Saio-hasiera bakarrak identitate bakarra eta galdetegi gutxiago agintzen ditu, baina agindua hirugarren protokoloan apurtzen da. Tranpa da pentsatzea autentifikazio arrakastatsu batek token bat sortzen duela beste edozein protokoloek aurkez dezakeena. Wi-Fi sarbideak, VPN sarrerak eta edukiontzi-erregistro batek bakoitzak truke desberdina egiten du, audientzia eta iraupen desberdinekin. Kontua partekatzea direktorioaren erabakia da; kredentziala partekatzea protokoloaren erabakia da, eta protokoloek gutxitan adosten dute.

Hiru truke, hiru jabe

Enpresako Wi-Fi-k EAP metodoa exekutatzen du 802.1X barruan, normalean RADIUS zerbitzu batek amaitzen du, eta honek erabiltzaileari edo gailuari buruzko bere ikuspegia du. VPN atea bere fluxu onartuaren bidez autentifikatzen da eta gero saio bat mantentzen du bere berrautentifikazio-tenporizadorearekin. Erregistro batek autentifikatu gabeko eskaera bati erantzuten dio token zerbitzu bat, audientzia bat eta esparru bat izendatzen dituen erronka batekin, eta bezeroak bere kredentziala trukatzen du iraupen laburreko token baten truke.

Horiek ez dira saio bakarraren hiru ikuspegi. Bakoitzak bere egiaztatzailea, bere iraupena eta bere baliogabetze-bidea ditu, eta horregatik direktorioko pasahitz-aldaketak bat funtzionatzen eta bestea hautsita utz ditzake. Har itzazu erabiltzaile-direktorioa partekatzen duten hiru integrazio gisa.

Zer eramaten du nabigatzaileko SSO-k eta zer ez

Identitate-hornitzaile bateko nabigatzaile-saioa benetan erabilgarria da: hara birbideratzen duten aplikazioek erabiltzaileak jada osatu duen saio-hasiera heredatzen dute. Hori funtzionatzen du aplikazio horiek birbideratze- eta token-protokolo berak hitz egiten dituztelako eta audientzia bera onartzen dutelako. EAP hitz egiten duen eskatzaileak ez du jarraitzeko birbideratzerik, eta erregistroaren erronka bat jasotzen duen Docker bezeroak ez du OIDC identitate-tokenik eskatzen. Identitate-hornitzaileak soilik berma ditzake eraikia izan zen protokoloak.

Hutsa erraza da erregistroetan ikusten, non begiratu jakinda. Identitate-hornitzaileak saio-hasiera arrakastatsua jakinarazten du Wi-Fi elkarketa oraindik huts egiten ari den bitartean, edo erregistroak 401 itzultzen du nabigatzaileak inoiz ikusi ez zuen token-truke baten ondoren. Bi arrakasta eta huts bat ez dira kontraesana; hiru autentifikazio bereizi dira.

Non ordezkatzen duen ziurtagiriak errepikatutako kodea

Gailu kudeatuetarako, ziurtagirian oinarritutako EAP-k urrats gizatiarra kentzen du identitatea kendu gabe: gailuak ziurtagiri bat aurkezten du, RADIUS zerbitzuak igorlearen autoritatearen aurka egiaztatzen du, eta baliogabetzea autoritate horretan gertatzen da, sekretu partekatu batean beharrean. Trukea bizi-zikloko lana da, ziurtagiriak iraungitzen direlako eta hori gertatu aurretik berritu behar direlako.

Erregistroek banaketa baliokidea dute. Erabiltzaile interaktiboak behin saioa has dezake eta kredentzial-laguntzaile batek lortutako tokena gordetzea utzi, automatizazioak esparru estu bateko zerbitzu-kredentziala edo karga-lanaren identitatea erabili behar duen bitartean. Bienetako batek ez luke izan behar pipeline batera kopiatutako pertsona baten erabilera bakarreko kodea. Laguntzaileak erregistroko audientzia zehatz baterako tokena gordetzen du, beraz ezin da VPN aterantz berbideratu konfigurazio-fitxategi bat editatuaz.

docker login registry.example.com

Konparatu mantenimendu-kostua, ez galdera kopurua

Kredentzial partekatua merkea dirudi lanak huts egin arte ikusezina delako. Zenbatu, aldiz, zer kostatzen duen aukera bakoitzak urtebetean: izen-ematea, berritzea, baliogabetzea, ihes baten eragin-erradioa eta norbait joaten denean ukitutako sistema kopurua. Ziurtagiri-flota bat gehiago kostatzen da eraikitzen eta gutxiago eskalako ustiapenean; kode kopiatu bat ezer ez hasieran eta dena askatzen.

Ondoren aukeratu hanka bakoitzeko, eta ez globalki. Wi-Fi ziurtagirietara pasa daiteke, VPN-ak MFA duen SSO onartua mantendu dezake, eta erregistroak esparru esplizituak dituzten tokenak erabil ditzake. Idatz itzazu jabea, audientzia, esparrua, iraungitzea eta baliogabetze-bidea bakoitzarentzat, eta galderak behar duten tokian eroriko dira, ez denetan batera. Erregistro hori da, halaber, auditoria batek zein sistemak fidatzen diren oraindik pasahitz batez galdetzen duenean.