ایک OTP Wi-Fi، VPN اور رجسٹری کو کیوں نہیں ڈھانپ سکتا

واحد سائن اِن ایک شناخت اور کم سوالات کا وعدہ کرتا ہے، اور وہ وعدہ تیسرے پروٹوکول پر ٹوٹ جاتا ہے۔ جال یہ سمجھنا ہے کہ ایک کامیاب تصدیق ایسا ٹوکن بناتی ہے جو ہر دوسرا پروٹوکول پیش کر سکے۔ Wi-Fi میں داخلہ، VPN میں داخلہ اور کنٹینر رجسٹری ہر ایک مختلف تبادلہ کرتی ہے، مختلف سامعین اور عمروں کے ساتھ۔ اکاؤنٹ شیئر کرنا ڈائریکٹری کا فیصلہ ہے؛ اسناد شیئر کرنا پروٹوکول کا فیصلہ ہے، اور پروٹوکول شاذ و نادر ہی متفق ہوتے ہیں۔

تین تبادلے، تین مالک

انٹرپرائز Wi-Fi 802.1X کے اندر EAP طریقہ چلاتا ہے، عام طور پر RADIUS سروس اسے ختم کرتی ہے جس کا صارف یا ڈیوائس کے بارے میں اپنا نظریہ ہوتا ہے۔ VPN گیٹ وے اپنے معاون بہاؤ سے تصدیق کرتا ہے اور پھر اپنے دوبارہ تصدیق کے ٹائمر کے ساتھ سیشن رکھتا ہے۔ رجسٹری غیر تصدیق شدہ درخواست کا جواب ٹوکن سروس، سامعین اور دائرہ بتانے والے چیلنج سے دیتی ہے، اور کلائنٹ اپنی اسناد کو قلیل المدت ٹوکن سے بدلتا ہے۔

یہ ایک سیشن کے تین نظریے نہیں ہیں۔ ہر ایک کا اپنا تصدیق کنندہ، اپنی عمر اور اپنا منسوخی کا راستہ ہے، اسی لیے ڈائریکٹری میں پاس ورڈ کی تبدیلی ایک کو چلتا اور دوسرے کو ٹوٹا چھوڑ سکتی ہے۔ انہیں تین انضمام سمجھیں جو اتفاقاً ایک صارف ڈائریکٹری شیئر کرتے ہیں۔

براؤزر SSO کیا لے جاتا ہے اور کیا نہیں

شناخت فراہم کنندہ پر براؤزر سیشن واقعی مفید ہے: وہاں بھیجے جانے والی ایپلیکیشنز وہ لاگ اِن ورثے میں پاتی ہیں جو صارف پہلے مکمل کر چکا ہے۔ یہ اس لیے کام کرتا ہے کہ وہ ایپلیکیشنز وہی ری ڈائریکشن اور ٹوکن پروٹوکول بولتی ہیں اور وہی سامعین قبول کرتی ہیں۔ EAP بولنے والے درخواست کنندہ کے پاس پیروی کے لیے کوئی ری ڈائریکشن نہیں، اور رجسٹری چیلنج پانے والا Docker کلائنٹ OIDC شناخت ٹوکن نہیں مانگتا۔ شناخت فراہم کنندہ صرف ان پروٹوکول کی ضمانت دے سکتا ہے جن کے لیے اسے بنایا گیا۔

جہاں دیکھنا ہے معلوم ہو تو لاگز میں ناکامی دیکھنا آسان ہے۔ شناخت فراہم کنندہ کامیاب لاگ اِن کی اطلاع دیتا ہے جبکہ Wi-Fi کا اتصال ابھی ناکام ہوتا ہے، یا رجسٹری اس ٹوکن تبادلے کے بعد 401 واپس کرتی ہے جو براؤزر نے کبھی نہیں دیکھا۔ دو کامیابیاں اور ایک ناکامی تضاد نہیں؛ یہ تین الگ تصدیقات ہیں۔

جہاں سرٹیفکیٹ دہرائے گئے کوڈ کی جگہ لیتا ہے

منظم ڈیوائسز کے لیے، سرٹیفکیٹ پر مبنی EAP شناخت ہٹائے بغیر انسانی مرحلہ ہٹا دیتا ہے: ڈیوائس سرٹیفکیٹ پیش کرتا ہے، RADIUS سروس اسے جاری کنندہ اتھارٹی سے جانچتی ہے، اور منسوخی اسی اتھارٹی میں ہوتی ہے، کسی مشترک راز میں نہیں۔ قیمت زندگی کے چکر کا کام ہے، کیونکہ سرٹیفکیٹ ختم ہوتے ہیں اور اس سے پہلے تجدید کرنا پڑتا ہے۔

رجسٹریوں میں بھی مساوی تقسیم ہے۔ انٹرایکٹو صارف ایک بار لاگ اِن کر کے اسناد کے معاون کو حاصل ٹوکن محفوظ کرنے دے سکتا ہے، جبکہ آٹومیشن کو تنگ دائرے کی سروس اسناد یا ورک لوڈ شناخت استعمال کرنی چاہیے۔ ان میں سے کوئی بھی پائپ لائن میں نقل کیا گیا انسان کا ایک بار کا کوڈ نہ ہو۔ معاون کسی مخصوص رجسٹری سامعین کے لیے ٹوکن محفوظ کرتا ہے، اس لیے کنفیگریشن فائل میں ترمیم کر کے اسے VPN گیٹ وے کی طرف نہیں موڑا جا سکتا۔

docker login registry.example.com

دیکھ بھال کی لاگت کا موازنہ کریں، سوالات کی تعداد کا نہیں

مشترکہ اسناد سستی لگتی ہیں کیونکہ کام ناکامی تک نظر نہیں آتا۔ اس کے بجائے گنیں کہ ہر آپشن ایک سال میں کتنا خرچ کرتا ہے: اندراج، تجدید، منسوخی، لیک کے اثر کا دائرہ اور جب کوئی جاتا ہے تو چھوئے جانے والے نظاموں کی تعداد۔ سرٹیفکیٹ کا بیڑا بنانے میں زیادہ اور بڑے پیمانے پر چلانے میں کم خرچ کرتا ہے؛ نقل کیا گیا کوڈ شروع کرنے میں کچھ نہیں اور سلجھانے میں سب کچھ خرچ کرتا ہے۔

پھر عالمی طور پر نہیں، ہر حصے کے لیے منتخب کریں۔ Wi-Fi سرٹیفکیٹ کی طرف جا سکتا ہے، VPN MFA کے ساتھ معاون SSO رکھ سکتا ہے، اور رجسٹری واضح دائروں والے ٹوکن استعمال کر سکتی ہے۔ ہر ایک کے لیے مالک، سامعین، دائرہ، اختتام اور منسوخی کا راستہ درج کریں، اور سوالات ایک ساتھ ہر جگہ نہیں بلکہ جہاں چاہیے وہاں گریں گے۔ وہی ریکارڈ اس وقت بھی جواب ہے جب آڈیٹر پوچھے کہ کون سے نظام اب بھی پاس ورڈ پر بھروسا کرتے ہیں۔