Prečo jeden OTP nepokryje Wi-Fi, VPN a registre

Jednotné prihlásenie sľubuje jednu identitu a menej výziev, ale sľub sa láme pri treťom protokole. Pasca je predpoklad, že jedna úspešná autentizácia vytvorí token, ktorý môže predložiť každý ďalší protokol. Prístup k Wi-Fi, vstup do VPN a register kontajnerov vedú každý inú výmenu, s rôznym publikom a životnosťou. Zdieľanie účtu je rozhodnutie adresára; zdieľanie prihlasovacích údajov je rozhodnutie protokolu a protokoly sa málokedy zhodnú.

Tri výmeny, traja vlastníci

Podnikové Wi-Fi spúšťa metódu EAP v 802.1X, zvyčajne ju ukončuje služba RADIUS, ktorá má vlastný pohľad na používateľa alebo zariadenie. Brána VPN sa autentizuje vlastným podporovaným tokom a potom drží reláciu s vlastným časovačom opätovnej autentizácie. Register odpovedá na neautentizovanú požiadavku výzvou, ktorá pomenúva službu tokenov, publikum a rozsah, a klient vymení svoje prihlasovacie údaje za krátkodobý token.

Nie sú to tri pohľady na jednu reláciu. Každý má vlastný overovateľ, vlastnú životnosť a vlastnú cestu zrušenia, a preto môže zmena hesla v adresári nechať jeden funkčný a iný pokazený. Berte ich ako tri integrácie, ktoré náhodou zdieľajú používateľský adresár.

Čo SSO v prehliadači prenáša a čo nie

Relácia v prehliadači u poskytovateľa identity je naozaj užitočná: aplikácie, ktoré naň presmerujú, dedia prihlásenie, ktoré používateľ už dokončil. Funguje to preto, že tie aplikácie hovoria rovnakými protokolmi presmerovania a tokenov a prijímajú rovnaké publikum. Žiadateľ, ktorý hovorí EAP, nemá žiadne presmerovanie na nasledovanie, a klient Dockeru, ktorý dostane výzvu registra, nežiada identitný token OIDC. Poskytovateľ identity môže ručiť len za protokoly, pre ktoré bol postavený.

Zlyhanie je v záznamoch ľahko vidieť, keď viete, kam sa pozerať. Poskytovateľ identity hlási úspešné prihlásenie, zatiaľ čo pridruženie k Wi-Fi stále zlyháva, alebo register vráti 401 po výmene tokenu, ktorú prehliadač nikdy nevidel. Dva úspechy a jedno zlyhanie nie sú rozpor; sú to tri samostatné autentizácie.

Kde certifikát nahradí opakovaný kód

Pri spravovaných zariadeniach EAP založený na certifikátoch odstraňuje ľudský krok bez odstránenia identity: zariadenie predloží certifikát, služba RADIUS ho overí u vydávajúcej autority a zrušenie prebehne u tejto autority, nie v zdieľanom tajomstve. Cenou je práca so životným cyklom, pretože certifikáty vypršia a musia byť obnovené predtým.

Registre majú zodpovedajúce rozdelenie. Interaktívny používateľ sa môže prihlásiť raz a nechať pomocníka pre prihlasovacie údaje uložiť výsledný token, kým automatizácia by mala použiť úzko vymedzené servisné údaje alebo identitu pracovnej záťaže. Ani jedno by nemal byť jednorazový kód človeka skopírovaný do pipeline. Pomocník ukladá token pre konkrétne publikum registra, takže sa nedá presmerovať na bránu VPN úpravou konfiguračného súboru.

docker login registry.example.com

Porovnajte náklady na údržbu, nie počet výziev

Zdieľané prihlasovacie údaje vyzerajú lacno, pretože práca je neviditeľná, kým niečo nezlyhá. Spočítajte namiesto toho, čo každá možnosť stojí za rok: registrácia, obnova, zrušenie, dosah úniku a počet systémov dotknutých, keď niekto odíde. Flotila certifikátov stojí viac na vybudovanie a menej na prevádzku vo veľkom; skopírovaný kód nestojí nič na začiatok a všetko na rozmotanie.

Potom vyberajte pre každú časť zvlášť, nie globálne. Wi-Fi môže prejsť na certifikáty, VPN môže zachovať podporované SSO s MFA a register môže používať tokeny s explicitnými rozsahmi. Zaznamenajte vlastníka, publikum, rozsah, vypršanie a cestu zrušenia pre každú z nich, a výzvy dopadnú tam, kam majú, namiesto všade naraz. Tento záznam je aj odpoveďou, keď sa audítor pýta, ktoré systémy stále dôverujú heslu.