Għaliex OTP wieħed ma jkoprix Wi-Fi, VPN u reġistru

L-illoggjar uniku jwiegħed identità waħda u inqas talbiet, u l-wegħda tinkiser fit-tielet protokoll. In-nassa hija li wieħed jassumi li awtentikazzjoni waħda b'suċċess tipproduċi token li kull protokoll ieħor jista' jippreżenta. Id-dħul fil-Wi-Fi, id-dħul fil-VPN u reġistru tal-kontenituri kull wieħed iwettaq skambju differenti, b'pubbliċi u ħajjiet differenti. Li taqsam il-kont hija deċiżjoni tad-direttorju; li taqsam il-kredenzjali hija deċiżjoni tal-protokoll, u l-protokolli rari jaqblu.

Tliet skambji, tliet sidien

Il-Wi-Fi tal-intrapriża jħaddem metodu EAP ġewwa 802.1X, normalment mitmum minn servizz RADIUS li għandu l-fehma tiegħu dwar l-utent jew it-tagħmir. Gateway VPN jawtentika permezz tal-fluss appoġġat tiegħu u mbagħad iżomm sessjoni bit-timer tiegħu ta' awtentikazzjoni mill-ġdid. Reġistru jwieġeb talba mhux awtentikata b'sfida li ssemmi servizz ta' tokens, pubbliku u ambitu, u l-klijent jiskambja l-kredenzjali tiegħu ma' token ta' ħajja qasira.

Dawn mhumiex tliet veduti ta' sessjoni waħda. Kull wieħed għandu l-verifikatur tiegħu, il-ħajja tiegħu u t-triq tiegħu ta' revoka, u għalhekk bidla tal-password fid-direttorju tista' tħalli waħda taħdem u oħra miksura. Ittrattahom bħala tliet integrazzjonijiet li jinqasmu d-direttorju tal-utenti b'kumbinazzjoni.

X'ġġorr l-SSO tal-browser u x'ma ġġorrx

Sessjoni tal-browser f'fornitur tal-identità hija tassew utli: l-applikazzjonijiet li jerġgħu jidderieġu lejh jirtu l-illoggjar li l-utent diġà lesta. Dan jaħdem għax dawk l-applikazzjonijiet jitkellmu l-istess protokolli ta' ridirezzjoni u tokens u jaċċettaw l-istess pubbliku. It-talab li jitkellem EAP m'għandux ridirezzjoni x'jsegwi, u klijent Docker li jirċievi sfida tar-reġistru mhux qed jitlob token tal-identità OIDC. Il-fornitur tal-identità jista' jiggarantixxi biss il-protokolli li nbnies biex jitkellimhom.

Il-falliment huwa faċli li tara fil-logs ladarba tkun taf fejn tħares. Il-fornitur tal-identità jirrapporta illoggjar b'suċċess waqt li l-assoċjazzjoni tal-Wi-Fi għadha tfalli, jew ir-reġistru jirritorna 401 wara skambju ta' token li l-browser qatt ma ra. Żewġ suċċessi u falliment wieħed mhumiex kontradizzjoni; huma tliet awtentikazzjonijiet separati.

Fejn ċertifikat jieħu post kodi ripetut

Għal tagħmir immexxi, l-EAP ibbażat fuq iċ-ċertifikat ineħħi l-pass uman mingħajr ma jneħħi l-identità: it-tagħmir jippreżenta ċertifikat, is-servizz RADIUS jiċċekkjah mal-awtorità emittenti, u r-revoka sseħħ f'dik l-awtorità minflok f'sigriet maqsum. Il-prezz huwa xogħol ta' ċiklu tal-ħajja, għax iċ-ċertifikati jiskadu u jridu jiġu mġedda qabel.

Ir-reġistri għandhom diviżjoni ekwivalenti. Utent interattiv jista' jilloggja darba u jħalli assistent tal-kredenzjali jaħżen it-token li jirriżulta, filwaqt li l-awtomatizzazzjoni għandha tuża kredenzjali tas-servizz b'ambitu dejjaq jew identità tax-xogħol. Lanqas waħda m'għandha tkun il-kodi ta' darba ta' bniedem ikkupjat fi pipeline. L-assistent jaħżen token għal pubbliku tar-reġistru partikolari, għalhekk ma jistax jiġi dirett lejn il-gateway VPN billi jiġi editjat fajl ta' konfigurazzjoni.

docker login registry.example.com

Qabbel l-ispiża tal-manutenzjoni, mhux l-għadd ta' talbiet

Kredenzjali maqsuma tidher irħisa għax ix-xogħol huwa inviżibbli sakemm ifalli. Minflok għodd kemm tiswa kull għażla f'sena: reġistrazzjoni, tiġdid, revoka, ir-raġġ ta' impatt ta' tnixxija u l-għadd ta' sistemi milquta meta xi ħadd jitlaq. Flotta ta' ċertifikati tiswa aktar biex tinbena u inqas biex tħaddimha fuq skala; kodi kkupjat ma jiswiex xejn biex jibda u jiswa kollox biex tinħall.

Imbagħad agħżel skont is-segment u mhux globalment. Il-Wi-Fi jista' jmur għaċ-ċertifikati, il-VPN jista' jżomm l-SSO appoġġat mal-MFA, u r-reġistru jista' juża tokens b'ambiti espliċiti. Irreġistra s-sid, il-pubbliku, l-ambitu, l-iskadenza u t-triq tar-revoka għal kull wieħed, u t-talbiet jaqgħu fejn għandhom minflok kullimkien f'daqqa. Dik ir-reġistrazzjoni hija wkoll it-tweġiba meta awditur jistaqsi liema sistemi għadhom jafdaw password.