Perché un solo OTP non copre Wi-Fi, VPN e un registro

L’accesso unico promette un’identità e meno richieste, e la promessa si rompe al terzo protocollo. La trappola è supporre che un’autenticazione riuscita produca un token che ogni altro protocollo possa presentare. L’accesso Wi-Fi, l’ingresso VPN e un registro di container eseguono ciascuno uno scambio diverso, con pubblici e durate differenti. Condividere l’account è una decisione di directory; condividere la credenziale è una decisione di protocollo, e i protocolli raramente sono d’accordo.

Tre scambi, tre proprietari

Il Wi-Fi aziendale esegue un metodo EAP dentro 802.1X, di solito terminato da un servizio RADIUS che ha la propria visione dell’utente o del dispositivo. Un gateway VPN si autentica tramite il proprio flusso supportato e poi mantiene una sessione con il proprio timer di riautenticazione. Un registro risponde a una richiesta non autenticata con una sfida che nomina un servizio di token, un pubblico e un ambito, e il client scambia la propria credenziale con un token di breve durata.

Non sono tre viste di un’unica sessione. Ognuno ha il proprio verificatore, la propria durata e il proprio percorso di revoca, per questo un cambio di password nella directory può lasciarne uno funzionante e l’altro rotto. Trattali come tre integrazioni che per caso condividono una directory utenti.

Che cosa porta l’SSO del browser e che cosa no

Una sessione browser presso un provider di identità è davvero utile: le applicazioni che vi reindirizzano ereditano l’accesso che l’utente ha già completato. Funziona perché quelle applicazioni parlano gli stessi protocolli di reindirizzamento e di token e accettano lo stesso pubblico. Un richiedente che parla EAP non ha alcun reindirizzamento da seguire, e un client Docker che riceve una sfida del registro non chiede un token di identità OIDC. Il provider di identità può garantire solo i protocolli per cui è stato costruito.

Il guasto è facile da vedere nei log quando si sa dove guardare. Il provider di identità segnala un accesso riuscito mentre l’associazione Wi-Fi fallisce ancora, oppure il registro restituisce 401 dopo uno scambio di token che il browser non ha mai visto. Due successi e un guasto non sono una contraddizione; sono tre autenticazioni separate.

Dove un certificato sostituisce un codice ripetuto

Per i dispositivi gestiti, l’EAP basato su certificati rimuove il passaggio umano senza rimuovere l’identità: il dispositivo presenta un certificato, il servizio RADIUS lo verifica presso l’autorità emittente, e la revoca avviene presso quell’autorità invece che in un segreto condiviso. Il prezzo è lavoro di ciclo di vita, perché i certificati scadono e vanno rinnovati prima.

I registri hanno una divisione equivalente. Un utente interattivo può accedere una volta e lasciare che un assistente delle credenziali memorizzi il token risultante, mentre l’automazione dovrebbe usare una credenziale di servizio con ambito ristretto o un’identità di carico di lavoro. Nessuna delle due dovrebbe essere il codice monouso di una persona copiato in una pipeline. L’assistente memorizza un token per un pubblico specifico del registro, quindi non può essere reindirizzato al gateway VPN modificando un file di configurazione.

docker login registry.example.com

Confrontate il costo di manutenzione, non il numero di richieste

Una credenziale condivisa sembra economica perché il lavoro è invisibile finché non fallisce. Contate invece quanto costa ogni opzione in un anno: registrazione, rinnovo, revoca, il raggio d’impatto di una fuga e il numero di sistemi toccati quando qualcuno se ne va. Una flotta di certificati costa di più da costruire e meno da gestire su scala; un codice copiato non costa nulla per iniziare e tutto per districare.

Poi scegliete per tratta invece che globalmente. Il Wi-Fi può passare ai certificati, la VPN può mantenere il proprio SSO supportato con MFA, e il registro può usare token con ambiti espliciti. Registrate proprietario, pubblico, ambito, scadenza e percorso di revoca per ciascuno, e le richieste cadranno dove devono invece che ovunque contemporaneamente. Quella registrazione è anche la risposta quando un revisore chiede quali sistemi si fidano ancora di una password.