Zakaj en OTP ne pokrije Wi-Fi, VPN in registra

Enotna prijava obljublja eno identiteto in manj pozivov, obljuba pa se zlomi pri tretjem protokolu. Past je predpostavka, da ena uspešna avtentikacija ustvari žeton, ki ga lahko predstavi vsak drug protokol. Dostop do Wi-Fi, vstop v VPN in register vsebnikov izvajajo vsak svojo izmenjavo, z različnimi občinstvi in življenjskimi dobami. Deljenje računa je odločitev imenika; deljenje poverilnic je odločitev protokola, in protokoli se redko strinjajo.

Tri izmenjave, trije lastniki

Podjetniški Wi-Fi izvaja metodo EAP znotraj 802.1X, običajno jo zaključi storitev RADIUS, ki ima svoj pogled na uporabnika ali napravo. Prehod VPN se avtenticira skozi svoj podprti tok in nato vzdržuje sejo z lastnim časovnikom ponovne avtentikacije. Register odgovori na neavtenticirano zahtevo z izzivom, ki poimenuje storitev žetonov, občinstvo in obseg, odjemalec pa svoje poverilnice zamenja za kratkotrajni žeton.

To niso trije pogledi na eno sejo. Vsak ima svojega preveritelja, svojo življenjsko dobo in svojo pot preklica, zato lahko sprememba gesla v imeniku enega pusti delujočega, drugega pa zlomljenega. Obravnavajte jih kot tri integracije, ki slučajno delijo uporabniški imenik.

Kaj SSO v brskalniku prinese in česa ne

Seja brskalnika pri ponudniku identitete je resnično koristna: aplikacije, ki preusmerjajo tja, podedujejo prijavo, ki jo je uporabnik že dokončal. To deluje, ker te aplikacije govorijo iste protokole preusmerjanja in žetonov ter sprejemajo isto občinstvo. Prosilec, ki govori EAP, nima nobene preusmeritve za sledenje, odjemalec Docker, ki prejme izziv registra, pa ne zahteva identitetnega žetona OIDC. Ponudnik identitete lahko jamči le za protokole, za katere je bil zgrajen.

Napako je v dnevnikih zlahka videti, ko veš, kam gledati. Ponudnik identitete poroča o uspešni prijavi, medtem ko povezovanje z Wi-Fi še vedno ne uspe, ali register vrne 401 po izmenjavi žetona, ki ga brskalnik ni nikoli videl. Dva uspeha in ena napaka niso protislovje; to so tri ločene avtentikacije.

Kjer potrdilo nadomesti ponovljeni kod

Pri upravljanih napravah EAP, ki temelji na potrdilih, odstrani človeški korak, ne da bi odstranil identiteto: naprava predloži potrdilo, storitev RADIUS ga preveri pri izdajatelju, preklic pa se zgodi pri tem izdajatelju in ne v skupni skrivnosti. Cena je delo z življenjskim ciklom, ker potrdila potečejo in jih je treba obnoviti pred tem.

Registri imajo enakovredno delitev. Interaktivni uporabnik se lahko prijavi enkrat in pusti pomočniku za poverilnice, da shrani nastali žeton, medtem ko naj bi avtomatizacija uporabljala ozko omejene storitvene poverilnice ali identiteto delovne obremenitve. Nobeno od tega ne bi smel biti enkratni kod človeka, kopiran v cevovod. Pomočnik shrani žeton za določeno občinstvo registra, zato ga ni mogoče preusmeriti na prehod VPN z urejanjem konfiguracijske datoteke.

docker login registry.example.com

Primerjajte stroške vzdrževanja, ne števila pozivov

Deljene poverilnice so videti poceni, ker je delo nevidno, dokler ne odpove. Namesto tega preštejte, koliko vsaka možnost stane v enem letu: vpis, obnova, preklic, doseg vpliva uhajanja in število sistemov, ki so dotaknjeni, ko nekdo odide. Flota potrdil stane več za gradnjo in manj za delovanje v merilu; kopiran kod ne stane nič za začetek in vse za razvozlanje.

Nato izbirajte po odseku, ne globalno. Wi-Fi lahko preide na potrdila, VPN lahko obdrži podprti SSO z MFA, register pa lahko uporablja žetone z izrecnimi obsegi. Zabeležite lastnika, občinstvo, obseg, potek in pot preklica za vsakega, in pozivi bodo padli tja, kamor spadajo, ne pa povsod hkrati. Ta zapis je tudi odgovor, ko revizor vpraša, kateri sistemi še zaupajo geslu.