Wêrom ien OTP Wi-Fi, VPN en in register net dekke kin

Ienige oanmelding belooft ien identiteit en minder fragen, en de belofte brekt by it tredde protokol. De fal is om oan te nimmen dat ien slagge autentikaasje in token makket dat elk oar protokol presintearje kin. Wi-Fi-tagong, VPN-ynkong en in kontenerregister dogge elk in oare útwikseling, mei ferskillende publyken en libbensdoeren. It akkount diele is in beslút fan it adresboek; de bewiisstikken diele is in beslút fan it protokol, en de protokollen binne it selden iens.

Trije útwikselingen, trije eigners

Bedriuws-Wi-Fi rint in EAP-metoad yn 802.1X, meast beëinige troch in RADIUS-tsjinst dy't syn eigen byld fan de brûker of it apparaat hat. In VPN-poarte autentisearret fia syn eigen stipe stream en hâldt dêrnei in sesje mei syn eigen werautentikaasje-timer. In register antwurdet in net-autentisearre fersyk mei in útdaging dy't in tokentsjinst, in publyk en in berik neamt, en de klant wikselet syn bewiisstikken foar in koartlibjend token.

Dat binne gjin trije bylden fan ien sesje. Elk hat syn eigen ferifiearder, syn eigen libbensdoer en syn eigen weromlûkingspaad, dêrom kin in wachtwurdferoaring yn it adresboek ien oan 't wurk litte en in oar stikken. Behannelje se as trije yntegraasjes dy't tafallich in brûkersadresboek diele.

Wat browser-SSO draacht en wat net

In browsersesje by in identiteitsleveransier is echt nuttich: applikaasjes dy't dêrhinne trochferwize ervje de oanmelding dy't de brûker al foltôge hat. Dat wurket om't dy applikaasjes deselde trochferwizings- en tokenprotokollen prate en itselde publyk akseptearje. In oanfreger dy't EAP praat hat gjin trochferwizing om te folgjen, en in Docker-klant dy't in register-útdaging krijt freget net om in OIDC-identiteitstoken. De identiteitsleveransier kin allinnich boargje foar protokollen dêr't er foar boud is.

De flater is maklik te sjen yn de logboeken as jo witte wêr't jo sjen moatte. De identiteitsleveransier meldt in slagge oanmelding wylst de Wi-Fi-ferbining noch altyd mislearret, of it register jout 401 nei in tokenútwikseling dy't de browser nea seach. Twa suksessen en ien flater binne gjin tsjinstelling; it binne trije aparte autentikaasjes.

Wêr't in sertifikaat in werhelle koade ferfangt

Foar beheardere apparaten ferwideret sertifikaatbasearre EAP de minsklike stap sûnder de identiteit te ferwiderjen: it apparaat presintearret in sertifikaat, de RADIUS-tsjinst kontrolearret it by de útjaanende autoriteit, en weromlûking bart by dy autoriteit ynstee fan yn in dield geheim. De priis is libbenssykluswurk, om't sertifikaten ferrinne en fernijd wurde moatte foardat dat bart.

Registers hawwe in lykweardige splitsing. In ynteraktive brûker kin ien kear oanmelde en in bewiisstikkenhelper it resultearjende token bewarje litte, wylst automatisearring in smei beheind tsjinstbewiisstik of in wurklêstidentiteit brûke moat. Gjin fan beide moat de ienmalige koade fan in minske wêze dy't yn in pipeline kopiearre is. De helper bewarret in token foar in beskaat registerpublyk, dus it kin net fia it bewurkjen fan in konfiguraasjebestân nei de VPN-poarte ferwiisd wurde.

docker login registry.example.com

Fergelykje de ûnderhâldskosten, net it oantal fragen

In dield bewiisstik liket goedkeap om't it wurk ûnsichtber is oant it mislearret. Tel ynstee wat elke opsje oer in jier kostet: ynskriuwing, fernijing, weromlûking, de eachrin fan in lek en it oantal systemen dy't oanrekke wurde as immen fuortgiet. In sertifikaatfloat kostet mear om te bouwen en minder om op skaal te betsjinjen; in kopiearre koade kostet neat om te begjinnen en alles om wer los te meitsjen.

Kies dan per skonke ynstee fan globaal. Wi-Fi kin nei sertifikaten, de VPN kin syn stipe SSO mei MFA hâlde, en it register kin tokens mei eksplisite berikken brûke. Skriuw de eigner, it publyk, it berik, it ferrinnen en it weromlûkingspaad foar elk op, en de fragen falle wêr't se moatte ynstee fan oeral tagelyk. Dat register is ek it antwurd as in auditor freget hokker systemen noch altyd in wachtwurd fertrouwe.