Miksi yksi OTP ei kata Wi-Fiä, VPN:ää ja rekisteriä

Kertakirjautuminen lupaa yhden identiteetin ja vähemmän kehotteita, mutta lupaus murtuu kolmannessa protokollassa. Ansaa on olettaa, että yksi onnistunut todennus tuottaa tokenin, jonka jokainen muu protokolla voi esittää. Wi-Fi-kirjautuminen, VPN-sisäänkirjautuminen ja konttirekisteri tekevät kukin erilaisen vaihdon, eri yleisöillä ja elinkaarilla. Tilin jakaminen on hakemistopäätös; tunnistetietojen jakaminen on protokollapäätös, ja protokollat sopivat harvoin.

Kolme vaihtoa, kolme omistajaa

Yrityksen Wi-Fi ajaa EAP-menetelmää 802.1X:n sisällä, ja sen päättää yleensä RADIUS-palvelu, jolla on oma näkemyksensä käyttäjästä tai laitteesta. VPN-yhdyskäytävä todennus tapahtuu sen omalla tuetulla kululla, ja sen jälkeen se pitää istuntoa omalla uudelleentodennusajastimellaan. Rekisteri vastaa todennussuojattuun pyyntöön haasteella, joka nimeää token-palvelun, yleisön ja laajuuden, ja asiakas vaihtaa tunnistetietonsa lyhytikäiseen tokeniin.

Nämä eivät ole yhden istunnon kolme näkymää. Jokaisella on oma tarkistajansa, oma elinkaarensa ja oma peruutuspolkunsa, minkä vuoksi salasanan vaihto hakemistossa voi jättää yhden toimimaan ja toisen rikki. Käsittele niitä kolmena integraationa, jotka sattuvat jakamaan käyttäjähakemiston.

Mitä selaimen SSO kantaa ja mitä ei

Selaimen istunto identiteetintarjoajan luona on todella hyödyllinen: sovellukset, jotka ohjaavat sinne, perivät kirjautumisen, jonka käyttäjä on jo suorittanut. Tämä toimii, koska ne sovellukset puhuvat samoja uudelleenohjaus- ja token-protokollia ja hyväksyvät saman yleisön. Pyytäjä, joka puhuu EAP:tä, ei voi seurata mitään uudelleenohjausta, eikä Docker-asiakas, joka saa rekisterin haasteen, pyydä OIDC-identiteettitokenia. Identiteetintarjoaja voi taata vain ne protokollat, joita varten se on rakennettu.

Vika on helppo nähdä lokeista, kun tietää mihin katsoa. Identiteetintarjoaja raportoi onnistuneen kirjautumisen, vaikka Wi-Fi-yhteys epäonnistuu edelleen, tai rekisteri palauttaa 401 tokenvaihdon jälkeen, jota selain ei koskaan nähnyt. Kaksi onnistumista ja yksi epäonnistuminen eivät ole ristiriita; ne ovat kolme erillistä todennusta.

Missä sertifikaatti korvaa toistetun koodin

Hallituille laitteille sertifikaattiin perustuva EAP poistaa ihmisvaiheen poistamatta identiteettiä: laite esittää sertifikaatin, RADIUS-palvelu tarkistaa sen myöntäjältä, ja peruutus tapahtuu kyseisessä viranomaisessa jaetun salaisuuden sijaan. Hinta on elinkaarityötä, koska sertifikaatit vanhenevat ja ne on uusittava ennen sitä.

Rekistereillä on vastaava jako. Interaktiivinen käyttäjä voi kirjautua kerran ja antaa tunnistetietoavustajan tallentaa tuloksena olevan tokenin, kun taas automaation tulisi käyttää kapeasti rajattua palvelutunnistetta tai työkuorman identiteettiä. Kumpikaan ei saisi olla ihmisen kertakäyttökoodi, joka on kopioitu putkeen. Avustaja tallentaa tokenin tiettyä rekisterin yleisöä varten, joten sitä ei voi ohjata VPN-yhdyskäytävään muokkaamalla asetustiedostoa.

docker login registry.example.com

Vertaa ylläpitokustannusta, älä kehotteiden määrää

Jaettu tunniste näyttää halvalta, koska työ on näkymätöntä kunnes se pettää. Laske sen sijaan, mitä kukin vaihtoehto maksaa vuoden aikana: rekisteröinti, uusiminen, peruutus, vuodon vaikutussäde ja järjestelmien määrä, joihin kosketaan kun joku lähtee. Sertifikaattilaivue maksaa enemmän rakentaa ja vähemmän käyttää mittakaavassa; kopioitu koodi ei maksa mitään aloittaa ja kaiken purkaa.

Valitse sitten osa kerrallaan, ei maailmanlaajuisesti. Wi-Fi voi siirtyä sertifikaatteihin, VPN voi pitää tuetun SSO:n MFA:n kanssa, ja rekisteri voi käyttää tokeneita, joilla on nimenomaiset laajuudet. Kirjaa omistaja, yleisö, laajuus, vanheneminen ja peruutuspolku kullekin, niin kehotteet osuvat sinne minne pitää eikä kaikkialle kerralla. Tämä kirjaus on myös vastaus, kun auditoija kysyy, mitkä järjestelmät vielä luottavat salasanaan.