Bạn có còn cần VPN trang khi ứng dụng dùng mTLS và SSO không?
Đi qua các kênh mà đăng nhập ứng dụng của bạn không bao giờ bao phủ, rồi quyết định xem quyền truy cập mạng riêng là dư thừa hay vẫn là con đường duy nhất tới máy chủ.
Bạn đăng nhập qua mTLS, bảng điều khiển tải xong, và khẳng định rằng VPN trang giờ đã dư thừa nghe hợp lý chừng nào cho đến khi bạn cần khôi phục một cơ sở dữ liệu lúc hai giờ sáng. Ranh giới TLS của ứng dụng chỉ mô tả một kênh. Máy chủ, cơ sở dữ liệu, đích sao lưu và tài khoản đám mây mỗi thứ mang một đường vào, một danh tính và một người phê duyệt riêng, và không thứ nào trong số đó được kiểm chứng bằng một lần đăng nhập thành công.
Đi ra ngoài từ màn hình đăng nhập
Đăng nhập như một người dùng bình thường và ghi lại từng bước mà yêu cầu chạm tới: trình duyệt, biên, trình lắng nghe ứng dụng, kho phiên, API phía sau. Mỗi bước có một chủ sở hữu và một quyết định xác thực. Giờ hãy lặp lại hành trình cho người vá máy chủ, và cho công việc ghi bản sao lưu ban đêm. Những hành trình đó thường rẽ nhánh ngay từ bước đầu tiên.
Chính sự rẽ nhánh đó là câu hỏi đáng được trả lời. VPN trang chỉ dư thừa khi mọi kênh trong hành trình thứ hai đều có chính sách vào và ủy quyền tự đứng vững.
Năm kênh mà đăng nhập ứng dụng không bao giờ bao phủ
Bảng dưới đây là mẫu kiểm kê, không phải danh sách kiểm tra triển khai. Điền cột thứ hai bằng những gì môi trường của bạn thực sự thực thi hôm nay.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Chia sẻ một nhà cung cấp danh tính không hợp nhất các ủy quyền này. Một người dùng được phép gửi yêu cầu API không vì thế mà được phép thay đĩa máy ảo hay khôi phục cơ sở dữ liệu bằng thông tin đăng nhập của ứng dụng. NIST trong bản tóm tắt kiến trúc không tin cậy giữ xác thực và ủy quyền tài nguyên tách khỏi vị trí mạng chính vì lý do này.
Một kỹ sư hỗ trợ đọc được phiếu yêu cầu không vì thế mà được phép mở bảng điều khiển trên máy chủ phía sau nó.
Một con đường chỉ có thật khi phương án thay thế vẫn đóng
Giới hạn khả năng tiếp cận vào các trình lắng nghe quản trị riêng là một thay thế hợp pháp cho VPN trang, miễn là giới hạn được thực thi chứ không chỉ được vẽ ra. Thất bại thường gặp là một trình lắng nghe thay thế mà không ai nhớ: một dịch vụ vẫn gắn với mọi giao diện, một quy tắc nhóm bảo mật mở cho nhà thầu, một cổng quản trị truy cập được từ internet.
Hãy kiểm tra trình lắng nghe, không phải sơ đồ. Trên máy chủ, liệt kê những gì thực sự được gắn bằng ss -ltnp và xác nhận các cổng quản trị nằm trên địa chỉ riêng. Trong bảng điều khiển đám mây, đọc các quy tắc vào của mạng con khối lượng công việc và tìm 0.0.0.0/0 trên bất cứ thứ gì quản trị. Sau đó thử kết nối từ bên ngoài con đường riêng, vì chính bài kiểm tra đó trả lời câu hỏi.
Một quy tắc mở cho cả thế giới trên SSH vô hiệu hóa mọi lập luận mà thiết kế đường hầm đưa ra.
Viết bản đồ trước khi so sánh thiết kế
Với mỗi hàng của bản kiểm kê, ghi lại ai phê duyệt danh tính, ai cập nhật quy tắc truy cập, ai gỡ thông tin đăng nhập khi có người rời đi, và ai xử lý việc khôi phục khi chính con đường bị hỏng. Bốn cái tên mỗi hàng là đủ để phơi ra những hàng mà câu trả lời là một tài khoản dùng chung và một trang wiki ba năm tuổi.
Sau đó xác thực một lần cho phép và một lần từ chối cho mỗi kênh. Một lần cho phép chứng minh danh tính dự định có thể tới tài nguyên qua con đường dự định. Một lần từ chối chứng minh một danh tính tương tự không thể, và đây chính là bài kiểm tra mà người ta bỏ qua, nên các trình lắng nghe thay thế mới sống sót qua kiểm toán. So sánh thiết kế đề xuất với những kết quả này, không phải với cấu hình TLS của ứng dụng, thứ chưa bao giờ kiểm chứng bất kỳ điều nào trong số đó.
Nơi VPN trang vẫn xứng đáng có chỗ
Đường hầm hoặc một cổng hẹp là câu trả lời đúng khi một tài nguyên không có xác thực riêng cho từng yêu cầu: cổng bảo trì cơ sở dữ liệu, đích sao lưu, bảng điều khiển hypervisor, quản trị ngoài băng. Những trình lắng nghe đó tin vào mạng, nên mạng phải là thứ xác thực người gọi.
Đó không phải câu trả lời duy nhất. Một cổng kết thúc ủy quyền cho từng tài nguyên có thể hẹp hơn một đường hầm phủ cả mạng con và để lại dấu vết kiểm toán tốt hơn một máy chủ nhảy dùng chung.
Thứ tự công việc: hoàn tất bản kiểm kê, đóng các phương án thay thế, xác thực một lần từ chối mỗi hàng, và chỉ sau đó mới loại bỏ đường hầm. Nếu một hàng không tạo được lần từ chối, hãy giữ con đường riêng cho tới khi tạo được.