Bado unahitaji VPN ya tovuti wakati programu inatumia mTLS na SSO?
Pitia njia ambazo kuingia kwenye programu yako hakuzifikii kamwe, kisha amua kama ufikiaji wa mtandao wa kibinafsi hauhitajiki au bado ni njia pekee ya kufikia mwenyeji.
Unaingia kwa mTLS, dashibodi inapakia, na madai kwamba VPN ya tovuti sasa haihitajiki yanasikika kwa busara takriban hadi unapohitaji kurejesha hifadhidata saa mbili usiku. Mpaka wa TLS wa programu unaeleza njia moja tu. Mwenyeji, hifadhidata, lengo la nakala rudufu na akaunti ya wingu kila moja hubeba njia yake ya kuingia, utambulisho wake na mthibitishaji wake, na hakuna hata moja inayojaribiwa kwa kuingia kwa mafanikio.
Toka nje kutoka skrini ya kuingia
Ingia kama mtumiaji wa kawaida na uandike kila hatua ambayo ombi linagusa: kivinjari, ukingo, msikilizaji wa programu, hifadhi ya vikao, API ya nyuma. Kila hatua ina mmiliki na uamuzi wa uthibitishaji. Sasa rudia safari kwa mtu anayeweka viraka kwenye mwenyeji, na kwa kazi inayoandika nakala rudufu ya usiku. Safari hizo kwa kawaida hutengana tayari katika hatua ya kwanza.
Utengano huo ndio swali linalostahili jibu. VPN ya tovuti haihitajiki tu wakati kila njia katika safari hiyo ya pili ina sera ya kuingia na idhini inayosimama yenyewe.
Njia tano ambazo kuingia kwenye programu hakuzifikii kamwe
Jedwali lililo hapa chini ni kiolezo cha hesabu, sio orodha ya ukaguzi wa usambazaji. Jaza safu ya pili na kile mazingira yako yanatekeleza kweli leo.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Kushiriki mtoa huduma mmoja wa utambulisho hakuunganishi idhini hizi. Mtumiaji anayeruhusiwa kutuma ombi la API hakuruhusiwa kwa hilo kubadilisha diski ya VM au kurejesha hifadhidata kwa vitambulisho vya programu. NIST katika muhtasari wa usanifu wa uaminifu sifuri huweka uthibitishaji na idhini ya rasilimali kando na eneo la mtandao kwa sababu hii hasa.
Mhandisi wa msaada anayeweza kusoma tiketi hakuruhusiwa kwa hilo kufungua konsoli kwenye mwenyeji aliye nyuma yake.
Njia ni ya kweli tu ikiwa mbadala unabaki umefungwa
Kuzuia ufikiaji kwa wasikilizaji wa kiutawala wa kibinafsi ni mbadala halali wa VPN ya tovuti, mradi kizuizi kitekelezwe na sio kuchorwa tu. Kushindwa kwa kawaida ni msikilizaji mbadala ambao hakuna aliyekumbuka: huduma ambayo bado imefungwa kwa violesura vyote, kanuni ya kikundi cha usalama iliyofunguliwa kwa mkandarasi, lango la usimamizi linalofikiwa kutoka mtandao.
Kagua wasikilizaji, sio michoro. Kwenye mwenyeji, orodhesha kile kilichofungwa kweli kwa ss -ltnp na uthibitishe kwamba lango za kiutawala ziko kwenye anwani ya kibinafsi. Kwenye konsoli ya wingu, soma kanuni za kuingia za subneti ya mzigo wa kazi na utafute 0.0.0.0/0 kwenye kitu chochote cha kiutawala. Kisha jaribu muunganisho kutoka nje ya njia ya kibinafsi, kwa sababu jaribio hilo ndilo linalojibu swali.
Kanuni moja iliyofunguliwa kwa dunia yote kwenye SSH hubatilisha kila hoja iliyotolewa na usanifu wa handaki.
Andika ramani kabla ya kulinganisha miundo
Kwa kila mstari wa hesabu, andika nani anaidhinisha utambulisho, nani anasasisha kanuni za ufikiaji, nani anaondoa vitambulisho mtu anapoondoka, na nani anashughulikia urejeshaji njia yenyewe inapovunjika. Majina manne kwa mstari yanatosha kufichua mistari ambayo jibu ni akaunti iliyoshirikiwa na ukurasa wa wiki wa miaka mitatu.
Kisha thibitisha idhini moja na kukataliwa moja kwa kila njia. Idhini inathibitisha kwamba utambulisho uliokusudiwa unaweza kufikia rasilimali kwa njia iliyokusudiwa. Kukataliwa kunathibitisha kwamba utambulisho kama huo hauwezi, na hilo ndilo jaribio ambalo watu huliruka, ndiyo sababu wasikilizaji mbadala huishi kupitia ukaguzi. Linganisha usanifu uliopendekezwa na matokeo haya, sio na usanidi wa TLS wa programu, ambao haukuwahi kujaribu hata mmoja wao.
Ambapo VPN ya tovuti bado inastahili nafasi yake
Handaki au lango jembamba ndilo jibu sahihi wakati rasilimali haina uthibitishaji wake kwa kila ombi: lango za matengenezo ya hifadhidata, malengo ya nakala rudufu, konsoli za hypervisor, usimamizi wa nje ya mkanda. Wasikilizaji hao wanaamini mtandao, kwa hiyo mtandao lazima uwe ndio unaothibitisha mpigaji simu.
Sio jibu pekee. Lango linalomaliza idhini kwa kila rasilimali linaweza kuwa jembamba kuliko handaki la subneti nzima na huacha alama bora ya ukaguzi kuliko mwenyeji wa kuruka aliyeshirikiwa.
Mpangilio wa kazi: kamilisha hesabu, funga mbadala, thibitisha kukataliwa moja kwa kila mstari, na kisha tu ondoa handaki. Ikiwa mstari hauwezi kuzalisha kukataliwa, weka njia ya kibinafsi hadi uweze.