למה OTP אחד לא מכסה Wi-Fi, VPN ורישום

התחברות אחודה מבטיחה זהות אחת ופחות בקשות, וההבטחה נשברת בפרוטוקול השלישי. המלכודת היא להניח שאימות מוצלח אחד מפיק אסימון שכל פרוטוקול אחר יכול להציג. כניסת Wi-Fi, כניסת VPN ורישום מכולות מריצים כל אחד חילוף אחר, עם קהלים ותקופות חיים שונים. שיתוף החשבון הוא החלטת ספרייה; שיתוף האישורים הוא החלטת פרוטוקול, והפרוטוקולים ממעטים להסכים.

שלושה חילופים, שלושה בעלים

Wi-Fi ארגוני מריץ שיטת EAP בתוך 802.1X, שלרוב מסתיימת בשירות RADIUS שיש לו תפיסה משלו לגבי המשתמש או ההתקן. שער VPN מאמת דרך הזרימה הנתמכת שלו ואז מחזיק הפעלה עם טיימר אימות-מחדש משלו. רישום עונה לבקשה לא מאומתת באתגר שממנה שירות אסימונים, קהל והיקף, והלקוח מחליף את האישורים שלו באסימון קצר-ימים.

אלה אינם שלושה מבטים על הפעלה אחת. לכל אחד יש מאמת משלו, תוחלת חיים משלו ונתיב ביטול משלו, ולכן שינוי סיסמה בספרייה יכול להשאיר אחד עובד ואחר שבור. התייחס אליהם כאל שלושה שילובים שמקרה חולקים ספריית משתמשים.

מה SSO של הדפדפן נושא ומה לא

הפעלת דפדפן אצל ספק זהות היא באמת שימושית: אפליקציות שמפנות לשם יורשות את ההתחברות שהמשתמש כבר השלים. זה עובד כי האפליקציות האלה מדברות באותם פרוטוקולי הפניה ואסימונים ומקבלות את אותו קהל. מבקש שמדבר EAP אין לו הפניה לעקוב אחריה, ולקוח Docker שמקבל אתגר רישום אינו מבקש אסימון זהות OIDC. ספק הזהות יכול לערוב רק לפרוטוקולים שהוא נבנה לדבר בהם.

קל לראות את הכשל ביומנים ברגע שיודעים היכן להסתכל. ספק הזהות מדווח על התחברות מוצלחת בעוד שיוך ה-Wi-Fi עדיין נכשל, או שהרישום מחזיר 401 אחרי חילוף אסימון שהדפדפן מעולם לא ראה. שתי הצלחות וכשל אחד אינם סתירה; אלה שלושה אימותים נפרדים.

היכן תעודה מחליפה קוד חוזר

בהתקנים מנוהלים, EAP מבוסס תעודה מסיר את השלב האנושי בלי להסיר זהות: ההתקן מציג תעודה, שירות RADIUS בודק אותה מול הרשות המנפיקה, והביטול מתרחש ברשות ההיא ולא בסוד משותף. המחיר הוא עבודת מחזור חיים, כי תעודות פגות תוקף וחייבות להתחדש לפני כן.

לרישומים יש חלוקה מקבילה. משתמש אינטראקטיבי יכול להתחבר פעם אחת ולתת לעוזר אישורים לאחסן את האסימון הנוצר, בעוד שאוטומציה צריכה להשתמש באישור שירות בעל היקף צר או בזהות עומס עבודה. אף אחד מהם לא צריך להיות קוד חד-פעמי של אדם שהועתק לתוך צינור. העוזר מאחסן אסימון לקהל רישום מסוים, ולכן לא ניתן להפנות אותו לשער ה-VPN על ידי עריכת קובץ תצורה.

docker login registry.example.com

השוו את עלות התחזוקה, לא את מספר הבקשות

אישור משותף נראה זול כי העבודה בלתי נראית עד שהוא נכשל. במקום זאת ספרו מה עולה כל אפשרות במשך שנה: רישום, חידוש, ביטול, רדיוס ההשפעה של דליפה ומספר המערכות שנגעות כשמישהו עוזב. צי תעודות עולה יותר לבנות ופחות להפעיל בקנה מידה; קוד מועתק לא עולה דבר להתחיל והכל לפרום.

אחר כך בחרו לפי רגל ולא באופן גלובלי. Wi-Fi יכול לעבור לתעודות, ה-VPN יכול לשמור על SSO נתמך עם MFA, והרישום יכול להשתמש באסימונים עם היקפים מפורשים. תעדו את הבעלים, הקהל, ההיקף, התפוגה ונתיב הביטול לכל אחד, והבקשות ייפלו במקום שבו הן צריכות במקום בכל מקום בבת אחת. התיעוד הזה הוא גם התשובה כשמבקר שואל אילו מערכות עדיין סומכות על סיסמה.