Kwa nini OTP moja haiwezi kugharamia Wi-Fi, VPN na rejista

Kuingia kwa mara moja kunaahidi utambulisho mmoja na maswali machache, na ahadi hiyo huvunjika kwenye itifaki ya tatu. Mtego ni kudhani kwamba uthibitishaji mmoja uliofaulu huzalisha tokeni ambayo itifaki nyingine yoyote inaweza kuwasilisha. Uingiaji wa Wi-Fi, uingiaji wa VPN na rejista ya kontena kila kimoja hufanya mabadilishano tofauti, na hadhira na maisha tofauti. Kushiriki akaunti ni uamuzi wa saraka; kushiriki kitambulisho ni uamuzi wa itifaki, na itifaki mara chache hukubaliana.

Mabadilishano matatu, wamiliki watatu

Wi-Fi ya biashara huendesha mbinu ya EAP ndani ya 802.1X, kwa kawaida huhitimishwa na huduma ya RADIUS ambayo ina mtazamo wake kuhusu mtumiaji au kifaa. Lango la VPN huthibitisha kupitia mtiririko wake unaotumika kisha huhifadhi kikao na kipima muda chake cha uthibitishaji upya. Rejista hujibu ombi lisilothibitishwa kwa changamoto inayotaja huduma ya tokeni, hadhira na wigo, na mteja hubadilisha kitambulisho chake kwa tokeni ya muda mfupi.

Hizi si mitazamo mitatu ya kikao kimoja. Kila moja ina kithibitishaji chake, maisha yake na njia yake ya kufuta, ndiyo sababu mabadiliko ya nenosiri katika saraka yanaweza kuacha moja likifanya kazi na lingine limevunjika. Wachukulie kama miunganisho mitatu inayoshiriki saraka ya watumiaji kwa bahati.

Kile SSO ya kivinjari hubeba na kisichobeba

Kikao cha kivinjari kwa mtoa huduma wa utambulisho kina manufaa kweli: programu zinazoelekeza huko hurithi kuingia ambako mtumiaji amekamilisha tayari. Hiyo inafanya kazi kwa sababu programu hizo huzungumza itifaki sawa za uelekezaji na tokeni na hukubali hadhira sawa. Mwombaji anayezungumza EAP hana uelekezaji wa kufuata, na mteja wa Docker anayepokea changamoto ya rejista haombi tokeni ya utambulisho ya OIDC. Mtoa huduma wa utambulisho anaweza kudhamini itifaki alizojengwa kuzizungumza pekee.

Kushindwa ni rahisi kuona kwenye kumbukumbu ukiwa unajua wapi pa kuangalia. Mtoa huduma wa utambulisho huripoti kuingia kwa mafanikio wakati muunganisho wa Wi-Fi bado unashindikana, au rejista hurudisha 401 baada ya mabadilishano ya tokeni ambayo kivinjari hakikuona kamwe. Mafanikio mawili na kushindwa moja si mkanganyiko; ni uthibitishaji watatu tofauti.

Ambapo cheti huchukua nafasi ya msimbo unaorudiwa

Kwa vifaa vinavyosimamiwa, EAP inayotegemea cheti huondoa hatua ya kibinadamu bila kuondoa utambulisho: kifaa huwasilisha cheti, huduma ya RADIUS hukiangalia kwa mamlaka iliyotoa, na ubatilishaji hufanyika kwa mamlaka hiyo badala ya siri inayoshirikiwa. Bei ni kazi ya mzunguko wa maisha, kwa sababu vyeti huisha na lazima vifanywe upya kabla ya hapo.

Rejista zina mgawanyiko sawa. Mtumiaji anayeingiliana anaweza kuingia mara moja na kumruhusu msaidizi wa kitambulisho kuhifadhi tokeni inayotokana, wakati uendeshaji otomatiki unapaswa kutumia kitambulisho cha huduma chenye wigo mwembamba au utambulisho wa mzigo wa kazi. Hakuna kimoja kati yao kinapaswa kuwa msimbo wa mara moja wa mtu ulionakiliwa kwenye bomba. Msaidizi huhifadhi tokeni kwa hadhira maalum ya rejista, hivyo haiwezi kuelekezwa kwenye lango la VPN kwa kuhariri faili ya usanidi.

docker login registry.example.com

Linganisha gharama ya matengenezo, si idadi ya maswali

Kitambulisho kinachoshirikiwa kinaonekana kuwa cha bei ndogo kwa sababu kazi haionekani hadi kishindikane. Badala yake hesabu kila chaguo linagharimu kiasi gani kwa mwaka: usajili, uhuishaji, ubatilishaji, eneo la athari za uvujaji na idadi ya mifumo inayoguswa mtu anapoondoka. Kundi la vyeti linagharimu zaidi kujenga na kidogo kuendesha kwa kiwango; msimbo ulionakiliwa haugharimu kitu kuanza na kila kitu kufungua.

Kisha chagua kwa kila sehemu badala ya kwa ujumla. Wi-Fi inaweza kuhamia kwenye vyeti, VPN inaweza kubaki na SSO inayotumika pamoja na MFA, na rejista inaweza kutumia tokeni zenye wigo wazi. Rekodi mmiliki, hadhira, wigo, mwisho na njia ya kufuta kwa kila moja, na maswali yataanguka pale inapopasa badala ya kila mahali kwa wakati mmoja. Rekodi hiyo pia ni jibu wakati mkaguzi anauliza mifumo ipi bado inaamini nenosiri.