ทำไม OTP ตัวเดียวจึงครอบ Wi-Fi, VPN และรีจิสทรีไม่ได้

การลงชื่อเข้าใช้ครั้งเดียวสัญญาว่าจะมีตัวตนเดียวและถามน้อยลง แต่คำสัญญานั้นแตกที่โปรโตคอลที่สาม กับดักคือการคิดว่าการยืนยันตัวตนที่สำเร็จครั้งเดียวจะสร้างโทเค็นที่โปรโตคอลอื่นทุกตัวนำเสนอได้ การเข้าถึง Wi-Fi การเข้าสู่ VPN และรีจิสทรีคอนเทนเนอร์ต่างก็ทำการแลกเปลี่ยนคนละแบบ ด้วยผู้ชมและอายุที่ต่างกัน การแชร์บัญชีเป็นการตัดสินใจของไดเรกทอรี การแชร์ข้อมูลรับรองเป็นการตัดสินใจของโปรโตคอล และโปรโตคอลแทบไม่เคยตกลงกันได้

สามการแลกเปลี่ยน สามเจ้าของ

Wi-Fi องค์กรรันวิธี EAP ภายใน 802.1X โดยปกติมีบริการ RADIUS ที่มีมุมมองของตัวเองต่อผู้ใช้หรืออุปกรณ์เป็นตัวปิดท้าย VPN เกตเวย์ยืนยันตัวตนผ่านโฟลว์ที่รองรับของตัวเองแล้วจึงรักษาเซสชันด้วยตัวจับเวลาการยืนยันตัวตนซ้ำของตัวเอง รีจิสทรีตอบคำขอที่ยังไม่ยืนยันตัวตนด้วยความท้าทายที่ระบุบริการโทเค็น ผู้ชม และขอบเขต และไคลเอนต์แลกข้อมูลรับรองของตนเป็นโทเค็นอายุสั้น

สิ่งเหล่านี้ไม่ใช่สามมุมมองของเซสชันเดียว แต่ละอย่างมีตัวตรวจสอบของตัวเอง อายุของตัวเอง และเส้นทางการเพิกถอนของตัวเอง ซึ่งเป็นเหตุผลว่าทำไมการเปลี่ยนรหัสผ่านในไดเรกทอรีอาจทำให้ตัวหนึ่งยังทำงานและอีกตัวพัง มองว่าเป็นสามการผสานรวมที่บังเอิญแชร์ไดเรกทอรีผู้ใช้ร่วมกัน

สิ่งที่ SSO ของเบราว์เซอร์พาไปและไม่พาไป

เซสชันเบราว์เซอร์ที่ผู้ให้บริการตัวตนมีประโยชน์จริง: แอปพลิเคชันที่เปลี่ยนเส้นทางไปที่นั่นสืบทอดการลงชื่อเข้าใช้ที่ผู้ใช้ทำเสร็จแล้ว สิ่งนั้นได้ผลเพราะแอปพลิเคชันเหล่านั้นพูดโปรโตคอลการเปลี่ยนเส้นทางและโทเค็นเดียวกันและยอมรับผู้ชมเดียวกัน ผู้ขอที่พูด EAP ไม่มีเส้นทางให้ตาม และไคลเอนต์ Docker ที่ได้รับความท้าทายจากรีจิสทรีไม่ได้ขอโทเค็นตัวตน OIDC ผู้ให้บริการตัวตนรับประกันได้เฉพาะโปรโตคอลที่สร้างขึ้นมาเพื่อพูดเท่านั้น

ความล้มเหลวมองเห็นได้ง่ายในบันทึกเมื่อรู้ว่าจะดูที่ไหน. ผู้ให้บริการตัวตนรายงานการลงชื่อเข้าใช้สำเร็จในขณะที่การเชื่อมต่อ Wi-Fi ยังล้มเหลว หรือรีจิสทรีคืนค่า 401 หลังการแลกเปลี่ยนโทเค็นที่เบราว์เซอร์ไม่เคยเห็น สองความสำเร็จและหนึ่งความล้มเหลวไม่ใช่ความขัดแย้ง มันคือการยืนยันตัวตนสามครั้งแยกกัน

ที่ซึ่งใบรับรองเข้าแทนรหัสที่ใช้ซ้ำ

สำหรับอุปกรณ์ที่ได้รับการจัดการ EAP ที่อิงใบรับรองจะเอาขั้นตอนของมนุษย์ออกโดยไม่เอาตัวตนออก: อุปกรณ์นำเสนอใบรับรอง บริการ RADIUS ตรวจสอบกับผู้ออกใบรับรอง และการเพิกถอนเกิดขึ้นที่ผู้นั้นแทนที่จะเป็นความลับที่แชร์กัน ราคาที่จ่ายคืองานตลอดวงจรชีวิต เพราะใบรับรองหมดอายุและต้องต่ออายุก่อนหน้านั้น

รีจิสทรีมีการแบ่งที่เทียบเท่ากัน ผู้ใช้แบบโต้ตอบสามารถลงชื่อเข้าใช้ครั้งเดียวและปล่อยให้ตัวช่วยข้อมูลรับรองเก็บโทเค็นที่ได้ ขณะที่ระบบอัตโนมัติควรใช้ข้อมูลรับรองบริการที่ขอบเขตแคบหรือตัวตนของภาระงาน ไม่มีอันใดควรเป็นรหัสใช้ครั้งเดียวของคนที่ถูกคัดลอกไปในไปป์ไลน์ ตัวช่วยเก็บโทเค็นสำหรับผู้ชมรีจิสทรีที่เฉพาะเจาะจง จึงไม่สามารถเปลี่ยนเส้นทางไปที่เกตเวย์ VPN ด้วยการแก้ไขไฟล์กำหนดค่าได้

docker login registry.example.com

เปรียบเทียบต้นทุนการบำรุงรักษา ไม่ใช่จำนวนครั้งที่ถาม

ข้อมูลรับรองที่แชร์กันดูถูกเพราะงานมองไม่เห็นจนกว่าจะล้มเหลว ลองนับว่าตัวเลือกแต่ละอย่างมีต้นทุนเท่าไรในหนึ่งปี: การลงทะเบียน การต่ออายุ การเพิกถอน รัศมีผลกระทบของการรั่วไหล และจำนวนระบบที่ถูกแตะเมื่อมีคนลาออก กองใบรับรองมีต้นทุนสร้างสูงกว่าและดำเนินการในระดับใหญ่ถูกกว่า ส่วนรหัสที่คัดลอกมาเริ่มต้นไม่มีต้นทุนแต่แกะออกมีทุกอย่าง

จากนั้นเลือกเป็นรายส่วนไม่ใช่ทั้งระบบ Wi-Fi ย้ายไปใบรับรองได้ VPN รักษา SSO ที่รองรับพร้อม MFA ได้ และรีจิสทรีใช้โทเค็นที่มีขอบเขตชัดเจนได้ บันทึกเจ้าของ ผู้ชม ขอบเขต วันหมดอายุ และเส้นทางการเพิกถอนของแต่ละอย่าง แล้วคำถามจะตกอยู่ที่ที่ควรอยู่แทนที่จะอยู่ทุกที่พร้อมกัน บันทึกนั้นยังเป็นคำตอบเมื่อผู้ตรวจสอบถามว่าระบบใดยังไว้ใจรหัสผ่าน