Għad għandek bżonn VPN tas-sit meta l-app tuża mTLS u SSO?
Ixħet ħarsa lejn il-kanali li l-login tal-app tiegħek qatt ma jkopri, imbagħad iddeċiedi jekk l-aċċess għan-netwerk privat hux żejjed jew għadu l-unika triq lejn il-host.
Tidħol b'mTLS, id-dashboard jillowdja, u l-allegazzjoni li l-VPN tas-sit issa hija żejda tinstema' raġonevoli bejn wieħed u ieħor sakemm ikollok bżonn tirkupra database fi tnejn ta' filgħodu. Il-fruntiera TLS tal-app tiddeskrivi kanal wieħed biss. Il-host, id-database, il-mira tal-backup u l-kont tal-cloud kull wieħed iġorr it-triq tad-dħul tiegħu, l-identità tiegħu u l-approvatur tiegħu, u l-ebda wieħed minnhom mhu eżerċitat b'login ta' suċċess.
Imxi 'l barra mill-iskrin tal-login
Idħol kif jagħmel utent ordinarju u ikteb kull pass li tmissu t-talba: browser, tarf, semmiegħ tal-app, maħżen tas-sessjonijiet, API backend. Kull pass għandu sid u deċiżjoni ta' awtentikazzjoni. Issa erġa' għamel il-mixja għall-persuna li tgħatti l-host, u għax-xogħol li jikteb il-backup ta' bil-lejl. Dawk il-mixjiet normalment jiddivarjaw diġà fl-ewwel pass.
Dik id-diverġenza hija l-mistoqsija li jistħoqqilha tweġiba. VPN tas-sit hija żejda biss meta kull kanal f'dik it-tieni mixja jkollu politika tad-dħul u tal-awtorizzazzjoni li tibqa' waħedha.
Ħames kanali li l-login tal-app qatt ma jkopri
It-tabella hawn taħt hija mudell ta' inventarju, mhux lista ta' kontroll għall-varar. Imla t-tieni kolonna b'dak li l-ambjent tiegħek fil-fatt jinfurza llum.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
It-tqassim ta' fornitur tal-identità wieħed ma jgħaqqadx dawn l-awtorizzazzjonijiet. Utent li jista' jibgħat talba API mhuwiex b'dan awtorizzat jissostitwixxi diska ta' VM jew jirkupra database bil-kredenzjali tal-app. NIST fil-sommarju tal-arkitettura tal-fiduċja żero iżomm l-awtentikazzjoni u l-awtorizzazzjoni tar-riżorsi separati mil-lokazzjoni fin-netwerk proprju għal din ir-raġuni.
Inġinier tal-appoġġ li jista' jaqra ticket mhuwiex b'dan awtorizzat jiftaħ console fuq il-host warajh.
Triq hija reali biss jekk l-alternattiva tibqa' magħluqa
Lill-aċċessibilità għal semmiegħa amministrattivi privati hija sostituzzjoni leġittima ta' VPN tas-sit, sakemm ir-restrizzjoni tiġi infurzata u mhux biss miġbuda. Il-falliment tas-soltu huwa semmiegħ alternattiv li ħadd ma ftakar fih: servizz li għadu marbut mal-interfaces kollha, regola ta' grupp tas-sigurtà miftuħa għal kuntrattur, port tal-ġestjoni li jintlaħaq mill-internet.
Iċċekkja s-semmiegħa, mhux id-dijagrammi. Fuq il-host, elenka x'inhu marbut tassew b'ss -ltnp u kkonferma li l-ports amministrattivi jinsabu fuq indirizz privat. Fil-console tal-cloud, aqra r-regoli tad-dħul għas-subnet tax-xogħol u fittex 0.0.0.0/0 fuq xi ħaġa amministrattiva. Imbagħad ipprova l-konnessjoni minn barra t-triq privata, għax dak it-test huwa dak li jwieġeb il-mistoqsija.
Regola waħda miftuħa għad-dinja kollha fuq SSH tħassar kull argument li għamel id-disinn tal-mina.
Ikteb il-mappa qabel ma tqabbel id-disinni
Għal kull ringiela tal-inventarju, innota min japprova l-identitajiet, min jaġġorna r-regoli tal-aċċess, min ineħħi l-kredenzjali meta xi ħadd jitlaq, u min jimmaniġġja l-irkupru meta t-triq stess tinkiser. Erba' ismijiet għal kull ringiela biżżejjed biex jinkixfu r-ringieli fejn it-tweġiba hija kont maqsum u paġna wiki ta' tliet snin ilu.
Imbagħad ivvalida permess wieħed u ċaħda waħda għal kull kanal. Permess jipprova li l-identità maħsuba tista' tilħaq ir-riżors mit-triq maħsuba. Ċaħda tipprova li identità simili ma tistax, u dan huwa t-test li n-nies jaqbżu, u għalhekk is-semmiegħa alternattivi jgħaddu mill-verifiki. Qabbel id-disinn propost ma' dawn ir-riżultati, mhux mal-konfigurazzjoni TLS tal-app, li qatt ma eżerċitat l-ebda waħda minnhom.
Fejn VPN tas-sit għadu jistħoqqlu postu
Mina jew bieb dejjaq hija t-tweġiba t-tajba meta riżors ma jkollux awtentikazzjoni tiegħu għal kull talba: ports tal-manutenzjoni tad-databases, miri tal-backup, consoles tal-hypervisor, ġestjoni barra mill-medda. Dawk is-semmiegħa jafdaw fin-netwerk, għalhekk in-netwerk irid ikun dak li jawtentika lill-min jsejjaħ.
Mhijiex l-unika tweġiba. Bieb li jtemm l-awtorizzazzjoni għal kull riżors jista' jkun idjaq minn mina fuq is-subnet kollu u jħalli traċċa tal-verifika aħjar minn host tal-qabża maqsum.
Ordni tax-xogħol: lesti l-inventarju, agħlaq l-alternattivi, ivvalida ċaħda waħda għal kull ringiela, u biss imbagħad irtira l-mina. Jekk ringiela ma tistax tipproduċi ċaħda, żomm it-triq privata sakemm tista'.