4.7 Usimamizi wa utambulisho na ufikiaji

Muhtasari na msukumo

Kila ombi linalofika kwenye mifumo yako hubeba dai la kimyakimya: nina ruhusa ya kufanya hili. Usimamizi wa utambulisho na ufikiaji (IAM) ni nidhamu ya kuamua kama dai hilo ni la kweli. Unajibu maswali mawili tofauti ambayo watu huyachanganya kila mara. Uthibitishaji huthibitisha wewe ni nani. Uidhinishaji huamua unaweza kufanya nini mara umeshathibitisha. Yaweke mawazo hayo mawili tofauti akilini mwako na nusu ya mkanganyiko katika uwanja huu hutoweka.

Kwa timu kubwa, utambulisho umekuwa kimyakimya kidhibiti muhimu zaidi unachomiliki. Sura ya 4.3 inaeleza kwamba utambulisho ndio mzunguko mpya, na sura ya 4.1 inajenga uaminifu-sifuri juu yake: unapoacha kuamini mtandao, kitu pekee kilichobaki cha kuamini ni utambulisho uliothibitishwa na sera wazi. Mabadiliko hayo yanamaanisha mtiririko dhaifu wa kuweka upya nenosiri au akaunti ya huduma iliyosahaulika si hitilafu ndogo tena. Ni mlango wa mbele. Uvunjaji mwingi halisi si unyonyaji wa kijanja wa dosari za usalama wa kumbukumbu; ni vitambulisho vilivyoibiwa, ruhusa pana kupita kiasi, na akaunti ambazo zilipaswa kuzimwa miezi iliyopita.

Dau linapanda katika mazingira ya mashirika makubwa na serikali. Shirika kubwa la kimataifa linashughulikia saraka kadhaa zinazoingiliana, maelfu ya wanaojiunga na wanaoondoka kila mwezi, na washirika wanaohitaji ufikiaji uliowekewa wigo wa kipande cha mifumo yako. Wakala wa serikali huongeza vitambulisho vya kadi mahiri, viwango vya lazima vya uhakikisho wa utambulisho, na wakaguzi watakaouliza, kwa maandishi, hasa nani angeweza kugusa rekodi fulani siku fulani. Sura hii ina msimamo kuhusu jinsi ya kujenga safu ya utambulisho inayojibu maswali hayo vizuri bila kuwakwamisha watu wako.

Kanuni kuu

Uthibitishaji na uidhinishaji ni matatizo tofauti. Kuthibitisha utambulisho na kutoa ruhusa vinahitaji miundo tofauti na mapitio tofauti.
Utambulisho mmoja, mifumo mingi. Unganisha kwenye chanzo kimoja cha ukweli kwa kila kundi la utambulisho; mtawanyiko wa saraka ni hitilafu ya usalama.
Upendeleo mdogo kwa chaguo-msingi. Anza kutoka sifuri ufikiaji na uongeze kwa makusudi, kwa binadamu na mashine vilevile.
Kila kitambulisho ni cha muda. Pendelea vitambulisho vya muda mfupi, vinavyotolewa kiotomatiki kuliko siri za muda mrefu.
Kuondoa ufikiaji ni muhimu kama kutoa. Ufikiaji unaodumu kuliko hitaji lake ni hatari tupu.
Kinachostahimili hadaa kinashinda kinachokumbukwa. Hamisha uthibitishaji kuelekea passkeys na vipengele vinavyoungwa mkono na maunzi.
Mashine pia ni utambulisho. Mizigo ya kazi, mabomba, na huduma zinahitaji utambulisho unaosimamiwa, si funguo tuli zinazoshirikiwa.
Ufikiaji ni mzunguko wa maisha, si tukio. Toa, pitia, na batilisha kwa ratiba, na uthibitishe kwamba ulifanya hivyo.

Mapendekezo

Tenganisha uthibitishaji na uidhinishaji, na uyaweke yote mawili kati

Thibitisha kupitia mtoaji mmoja wa utambulisho (IdP), mfumo unaothibitisha utambulisho na kutoa tokeni ambazo mifumo mingine inaziamini. Kisha acha kila programu ifanye maamuzi yake ya uidhinishaji kutoka kwa utambulisho na sifa ambazo tokeni hiyo inabeba. Mgawanyo huu unakuruhusu kuimarisha uthibitishaji mara moja, kwa kila mtu, huku ukiweka mantiki ya ruhusa ya kina karibu na data inayoilinda. Pokea kuingia mara moja (SSO), ambapo uthibitishaji mmoja unatoa ufikiaji wa programu nyingi, ili watu wako wawe na kuingia kimoja imara badala ya arobaini dhaifu. Muungano hupanua uaminifu huohuo kuvuka mipaka ya mashirika, ukiruhusu utambulisho wa mshirika kufikia mifumo yako bila wewe kusimamia manenosiri yao.

Tumia itifaki za kisasa kwa kile kila moja inachofaa kweli

Viwango vitatu hufanya kazi nyingi, na kila kimoja kina kazi yake. OpenID Connect (OIDC) ni safu ya utambulisho iliyojengwa juu ya OAuth 2.0; itumie kujibu mtumiaji huyu ni nani kwa kuingia kwa wavuti na simu. OAuth 2.0 ni mfumo wa uidhinishaji wa ufikiaji uliokabidhiwa; utumie kuruhusu programu kuita API kwa niaba ya mtumiaji bila kuona nenosiri lake kamwe (sura ya 2.3). Security Assertion Markup Language (SAML) ni kiwango cha zamani cha muungano kinachotegemea XML; kinabaki kuwa farasi wa kazi kwa SSO ya mashirika makubwa kwenye programu za biashara zilizoimarika. Kosa la kawaida ni kutumia OAuth kufanya uthibitishaji moja kwa moja. OAuth hutoa ufikiaji wa rasilimali; OIDC iko juu yake kuanzisha utambulisho. Chagua OIDC kwa kuingia mpya kunakomkabili mtumiaji, bakiza SAML pale katalogi yako ya shirika inapodai, na usibuni muundo wako wa tokeni.

Fanya uthibitishaji ustahimili hadaa

Nenosiri peke yake haliwezi kutetewa kwa ukubwa. Hitaji uthibitishaji wa vipengele vingi (MFA), unaochanganya kitu unachojua, kitu ulicho nacho, na kitu ulicho, kwa kila akaunti ya binadamu bila kighairi. Kisha sukuma zaidi ya vipengele dhaifu: misimbo ya mara moja kupitia SMS inaweza kuhadaiwa na kuibiwa kupitia ubadilishaji wa SIM. Mahali pa mwisho palipo imara ni passkeys na kiwango cha msingi cha WebAuthn (API ya kivinjari kwa uthibitishaji wa ufunguo wa umma), ambavyo hufunga kuingia kwa ufunguo wa faragha unaoshikiliwa na maunzi na kwa asili halisi ya tovuti, ili ukurasa bandia usiweze kuvuna chochote kinachostahili kuibiwa. Passkeys pia hazina nenosiri, jambo ambalo watumiaji wako watakushukuru. Chukulia kurejesha akaunti na kuweka upya nenosiri kama sehemu ya uso wa uthibitishaji, kwa sababu mshambulizi asiyeweza kushinda MFA yako atashambulia tu mtiririko wa kuweka upya badala yake.

Simamia mzunguko wa mwanachama-mpya-mhamiaji-mwondokaji, na uondoe ufikiaji haraka

Utambulisho ni mzunguko wa maisha. Mwanachama mpya anahitaji ufikiaji sahihi siku ya kwanza. Mhamiaji anayebadilisha majukumu anahitaji ufikiaji mpya na, kwa umuhimu, anahitaji ufikiaji wa zamani uondolewe, la sivyo polepole hukusanya funguo za jengo zima. Mwondokaji lazima apoteze ufikiaji wote haraka, ikiwezekana ndani ya dakika za siku yake ya mwisho, kuvuka kila mfumo. Endesha hili kutoka chanzo chenye mamlaka, kwa kawaida mfumo wa rasilimali watu, ili mabadiliko ya hali huko yatoe na kuondoa ufikiaji kiotomatiki chini ya mkondo. Liotomatishe. Orodha hakiki za mkono za kuondoka daima hukosa kitu, na akaunti wanayoikosa ndiyo inayojitokeza kwenye ripoti ya tukio.

Chagua mfano wa uidhinishaji na uuonyeshe kama sera-kama-msimbo

Toa ruhusa kwa udhibiti wa ufikiaji unaotegemea jukumu (RBAC), ambapo unaweka ruhusa kwa majukumu ya kazi na kuweka watu kwenye majukumu, kwa sababu ni rahisi kufikiria na rahisi kukagua. Tumia udhibiti wa ufikiaji unaotegemea sifa (ABAC) pale unapohitaji maamuzi yanayofahamu muktadha kulingana na sifa kama idara, uainishaji wa data, eneo, au saa ya siku. Mashirika mengi yaliyokomaa huendesha mseto: RBAC kwa ruhusa pana, ABAC kwa masharti ya kina. Uchague lipi, onyesha uidhinishaji kama sera-kama-msimbo: kanuni zilizoandikwa katika umbo lenye udhibiti wa matoleo, linalojaribiwa, na linaloweza kupitiwa badala ya kubofya ndani ya kiweko. Sera-kama-msimbo hufanya maamuzi ya ufikiaji yaweze kukaguliwa, kulinganishwa, na thabiti kuvuka mazingira, na hukuruhusu kujaribu badiliko la ruhusa kabla halijasafirishwa.

Tekeleza upendeleo mdogo kwa ufikiaji wa wakati-tu na PAM

Tumia kanuni ya upendeleo mdogo: kila utambulisho unapata ufikiaji wa kiwango cha chini unachohitaji na si zaidi. Upendeleo wa kudumu ni adui, kwa sababu ruhusa iliyotolewa milele ni ruhusa inayopatikana kwa mshambulizi yeyote atakayetua kwenye akaunti hiyo wakati wowote. Pendelea ufikiaji wa wakati-tu (JIT), ambapo mtu anaomba haki zilizoinuliwa kwa dirisha lenye mipaka, anazipata baada ya idhini, na anazipoteza kiotomatiki dirisha linapofungwa. Kwa akaunti zako hatari zaidi, pokea usimamizi wa ufikiaji wenye upendeleo (PAM): mfumo unaohifadhi vitambulisho vya usimamizi kwenye hazina, kuwezesha na kurekodi vipindi vyenye upendeleo, na kutoa kuinuliwa unapohitajika. Lengo ni ufikiaji wa msimamizi wa kudumu wa sifuri, ili hata kompyuta ndogo iliyoathirika kabisa isitoe chochote cha kudumu.

Wape mashine na mizigo ya kazi utambulisho halisi

Binadamu ni nusu tu ya utambulisho wako. Huduma, mabomba, kontena, na kazi zote hujithibitisha kwa kitu fulani, na mara nyingi mno hufanya hivyo kwa siri ya muda mrefu iliyobandikwa kwenye faili ya usanidi. Badilisha funguo tuli na utambulisho wa mzigo wa kazi unaosimamiwa: vitambulisho vya muda mfupi vinavyotolewa kiotomatiki kwa mzigo wa kazi kulingana na mahali unapoendesha na ulivyo. Tumia mutual TLS (mTLS), ambapo pande zote mbili za muunganisho huwasilisha vyeti, kwa uthibitishaji wa huduma-hadi-huduma. Weka siri zozote zilizobaki kwenye kidhibiti maalumu cha siri chenye kuzungusha, kamwe si kwenye msimbo wa chanzo au picha (sura ya 4.2). Vitambulisho vya mzigo wa kazi vya muda mfupi, vinavyozungushwa kiotomatiki huondoa chanzo cha kawaida zaidi cha uvujaji wa vitambulisho vya wingu.

Fanya utambulisho kuwa ndege ya udhibiti, na upitie ufikiaji mfululizo

Katika usanifu wa uaminifu-sifuri (sura ya 4.1), utambulisho ndipo sera inaamuliwa na kutekelezwa, kwa hiyo wekeza hapo ipasavyo. Kisha funga mzunguko kwa mapitio ya ufikiaji, yanayoitwa pia uthibitisho upya: kwa ratiba, mmiliki wa kila mfumo anathibitisha kwamba kila mtu na mashine yenye ufikiaji bado anauhitaji, na kubatilisha wasichoweza kuhalalisha. Lisha kila tukio la uthibitishaji na uidhinishaji kwenye nyayo za ukaguzi zinazojibu nani alifikia nini, lini, na chini ya sera ipi (sura ya 4.6). Mapitio ya ufikiaji ndiyo njia ya kupambana na kuongezeka kwa upendeleo, mkusanyiko wa polepole wa ruhusa ambapo hakuna utoaji mmoja uliowahi kuonekana usio na busara lakini kwa pamoja unafanya akaunti kuwa na nguvu kupita kiasi.

Mabadilishano: faida na hasara

Uamuzi	Faida	Hasara
IdP ya kati yenye SSO	Kuingia kimoja imara, sera thabiti, ukaguzi rahisi	Nukta moja ya kushindwa; hitilafu inawafungia wote nje
RBAC	Rahisi, inakaguliwa, inajulikana	Mlipuko wa majukumu; pana kwa mahitaji yanayohisi muktadha
ABAC	Ya kina, inafahamu muktadha, inapanuka kwa sifa	Ngumu zaidi kubuni, kujaribu, na kufikiria
Passkeys / WebAuthn	Zinastahimili hadaa, hazina nenosiri, imara	Mtiririko wa kurejesha na kupoteza kifaa unahitaji usanifu makini
Ufikiaji wa wakati-tu	Upendeleo wa kudumu karibu sifuri	Msuguano; unahitaji njia za idhini za haraka, za kutegemewa
Muungano na washirika	Hakuna usimamizi wa nenosiri la nje; uaminifu wenye wigo	Uaminifu unategemea usafi wa mshirika mwenyewe
Funguo za huduma za muda mrefu	Rahisi sana kuweka	Zinaelekea kuvuja; chanzo kikuu cha uvunjaji wa vitambulisho

Mvutano wa msingi ni usalama dhidi ya msuguano. Kila kidhibiti kinachopunguza uso wa shambulio (MFA kwa kila kitu, kuinuliwa kwa JIT, maisha mafupi ya vitambulisho) pia kinaongeza hatua kwenye siku ya mtu, na watu hupita pembeni ya vidhibiti vinavyoumiza mno. Tatua kwa kufanya njia salama kuwa njia rahisi: SSO ili uthibitishaji imara uwe mguso mmoja, passkeys ili hakuna nenosiri la kuandika, na utoaji wa kiotomatiki ili ufikiaji sahihi uonekane tu. Tumia bajeti yako ya msuguano pale eneo la mlipuko ni kubwa zaidi, kwenye ufikiaji wenye upendeleo na wa uzalishaji, na ubakize ufikiaji wa kila siku karibu bila msuguano.

Maswali ya kujadili na timu yako

Mnaweza kubatilisha haraka kiasi gani ufikiaji wote wa mtu anayeondoka leo, na mnajuaje ilifanya kazi? Kasi ya kuondoa ufikiaji ni kipimo cha moja kwa moja cha ukomavu wa utambulisho wenu, kwa sababu mwondokaji ambaye ufikiaji wake unadumu ni akaunti isiyofuatiliwa yenye ruhusa halisi. Katika shirika kubwa lenye mifumo kadhaa isiyounganishwa, jibu la uaminifu mara nyingi ni “hatuna uhakika,” na pengo kwa kawaida ni programu ambazo hazikuunganishwa kamwe kwenye mtoaji wa kati wa utambulisho. Leta kuondoka kwa hivi karibuni na ufuatilie kila mfumo ambao wangeweza kuugusa, ukiangalia mihuri ya muda ya wakati kila ufikiaji ulipoisha kweli. Amua lengo, kama kubatilisha kikamilifu ndani ya saa moja ya mabadiliko ya hali ya rasilimali watu, na ulipime ili mweze kuthibitisha badala ya kutumaini. Mfumo wowote ukitegemea mtu kukumbuka hatua ya mkono, hiyo ndiyo akaunti ambayo uvunjaji wa baadaye utaitumia.
Wapi bado mna ufikiaji wenye upendeleo wa kudumu na vitambulisho tuli vya muda mrefu, na ingehitaji nini kuviondoa? Haki za msimamizi wa kudumu na funguo za huduma za kudumu ni mali mbili ambazo washambulizi wanazitaka zaidi, kwa sababu zinadumu na zina nguvu. Orodhesha kila binadamu mwenye ufikiaji wa uzalishaji au usimamizi wa kila wakati na kila huduma inayojithibitisha kwa ufunguo tuli, kisha uliza kwa uaminifu ni zipi zingeweza kuhamia kuinuliwa kwa wakati-tu au utambulisho wa mzigo wa kazi wa muda mfupi. Mazingatio yanayoshindana ni hofu ya uendeshaji: timu zinadumisha ufikiaji wa kudumu kwa sababu nyakati za dharura huhisi salama zaidi nao, kwa hiyo lazima mfanye kuinuliwa kwa dharura kuwa haraka na kutegemewa kabla ya kuondoa haki za kudumu. Leta orodha kwenye mjadala na uzipange kwa eneo la mlipuko, ukilenga ufikiaji wa uzalishaji na usimamizi kwanza. Hali ya mwisho ya kulenga ni ufikiaji wa msimamizi wa kudumu wa sifuri na hakuna ufunguo tuli unaodumu kuliko usambazaji mmoja.
Mna utambulisho mmoja wenye mamlaka kwa kila mtu na kila mzigo wa kazi, au kadhaa, na mtawanyiko unawagharimu nini? Mtawanyiko wa saraka, ambapo binadamu yuleyule yuko kama akaunti tano kuvuka mifumo mitano yenye sifa zinazoteleza, ndipo mapengo ya kuondoa ufikiaji na ufikiaji yatima huzaliwa. Kuunganisha kwenye chanzo kimoja cha ukweli kwa kila kundi la utambulisho ni mojawapo ya uwekezaji wenye kiegemeo cha juu zaidi ambao timu kubwa inaweza kufanya, kwa sababu kila kidhibiti cha chini ya mkondo kinategemea kujua kwamba rekodi mbili ni mtu yuleyule. Leta orodha ya hifadhi zenu za utambulisho na uchore zipi zina mamlaka dhidi ya zipi ni nakala za urahisi ambazo hakuna anayezitawala. Biashara ni kwamba kuunganisha ni uhamishaji mkubwa, usiovutia unaoshindania umakini na kazi ya vipengele. Amua kama gharama endelevu ya mtawanyiko, katika maumivu ya ukaguzi na hatari ya uvunjaji, inahalalisha kufadhili uhamishaji huo sasa badala ya baada ya tukio linalofuata.
Vipengele vyenu vikali zaidi vya uthibitishaji vinastahimili hadaa kweli, na nini kinawazuia kustaafisha manenosiri milele? Kipengele ambacho mshambulizi hawezi kukihadaa ndicho kinachomaliza wizi wa vitambulisho kama njia kuu ya uvunjaji, na passkeys zilizofungwa kwa WebAuthn ndio chaguo pekee linaloweza kusambazwa kwa upana linalovuka kiwango hicho. Katika shirika kubwa picha ya uaminifu kwa kawaida ni mchanganyiko: passkeys kwa wengine, misimbo ya mara moja kupitia SMS kwa wengine, na mkia mrefu wa programu za urithi bado zinazokubali nenosiri peke yake. Mazingatio yanayoshindana ni halisi, kwa sababu passkeys huhamisha tatizo gumu kwenye kurejesha na kupoteza kifaa, na mtiririko mbaya wa kurejesha unakuwa shabaha mpya laini ambayo mshambulizi anahamia tu. Leta namba za ufikiaji kwa aina ya kipengele, orodha ya programu ambazo bado zinarudi kwenye nenosiri, na njia iliyobuniwa ya kurejesha akaunti ambayo mngeiamini dhidi ya jaribio la kudhamiria la uhandisi wa kijamii. Katika mazingira ya mashirika makubwa na serikali, funga lengo na kiwango chochote cha uhakikisho kilichoamriwa, kwa kuwa mfumo wa uhakikisho wa juu unaoruhusu bado kipengele kinachoweza kuhadaiwa una pengo la uzingatiaji pamoja na la usalama.
Mnaamuaje ufikiaji gani kila utambulisho unapata, na mnaweza kulinganisha, kujaribu, na kuthibitisha uamuzi huo kabla haujasafirishwa? Pengo kati ya “mtu alibofya ruhusa ndani ya kiweko” na “sera iliyopitiwa, yenye udhibiti wa matoleo” ndilo tofauti kati ya mfano wa ufikiaji unaoweza kuukagua na ule unaoweza kuuombea msamaha tu. Kwa timu kubwa shinikizo ni kuacha kila programu ikue kanuni zake maalumu, jambo linalozalisha kimyakimya mlipuko wa majukumu upande wa RBAC na masharti yasiyojaribika upande wa ABAC, hadi hakuna anayeweza kusema utoaji fulani unaruhusu nini kweli. Mazingatio yanayoshindana ni kasi ya utoaji, kwa sababu kuonyesha uidhinishaji kama sera-kama-msimbo kunaongeza hatua ya mapitio ambayo mbofyo wa kiweko hauna, na timu zilizo chini ya tarehe ya mwisho huchukia msuguano hadi ukaguzi wa kwanza ulioshindwa au utoaji pana kupita kiasi uweke hoja kwa niaba yao. Leta badiliko halisi la ruhusa na ufuatilie jinsi lingependekezwa, kujaribiwa, kupitiwa, na kurejeshwa, pamoja na hesabu ya majukumu mliyo nayo na mangapi hakuna anayeweza kuyaeleza. Katika mazingira ya mashirika makubwa na serikali, mkaguzi atawaomba muonyeshe hasa nani angeweza kufikia rekodi na chini ya kanuni ipi siku fulani, na sera tu inayoweza kulinganishwa na kujaribiwa ndiyo hujibu hilo bila mbio.
Lini mapitio ya ufikiaji yalibatilisha kitu halisi mara ya mwisho, na nani anawajibika kuongezeka kwa upendeleo kunapoachwa bila kudhibitiwa? Mapitio ya ufikiaji ndio kidhibiti kinachopambana na mkusanyiko wa polepole wa ruhusa ambapo hakuna utoaji mmoja uliowahi kuonekana usio na busara, na mapitio yasiyobatilisha chochote ni maigizo ya mapitio yanayozalisha makaratasi badala ya usalama. Katika shirika kubwa njia ya kushindwa ni muhuri wa mpira: wamiliki wa mifumo wanathibitisha upya mamia ya maingizo kwa kikao kimoja, wakiyaidhinisha yote kwa sababu kutathmini kila moja kwa kweli ni kuchosha na motisha ya kuweka ufikiaji ukitiririka ni kubwa kuliko ya kuukata. Mazingatio yanayoshindana ni kwamba mapitio yenye maana yanagharimu muda wa mmiliki na mara kwa mara huvunja mtiririko wa kazi wa mtu ufikiaji aliotegemea kimyakimya unapotoweka, kwa hiyo lazima mfanye mapitio yalenge na kuendeshwa na hatari badala ya orodha isiyotofautishwa. Leta kiwango cha kubatilisha cha mzunguko wenu wa mwisho, wastani wa haki kwa kila mtu, na ushahidi wa nani anamiliki uthibitisho upya wa kila mfumo. Katika mazingira ya mashirika makubwa na serikali, mtaje afisa anayewajibika kwa kila mapitio na mzunguko anaoshikiliwa nao, kwa sababu kuongezeka kwa upendeleo ambako hakuna anayewajibika kukamata ndiyo hali kamili ambayo wakaguzi na washambulizi wote wanaitumia.

Mtazamo wa sekta

Kampuni changa. Nunua utambulisho, usiujenge. Mtoaji mmoja wa utambulisho anayeendeshwa na mtu mwingine mwenye SSO, passkeys zinazohitajika, na kuondoa kwa mbofyo mmoja huwapa wahandisi wachache msimamo wa kiwango cha shirika kubwa kwa ada ya kila kiti. Egemea utambulisho wa mzigo wa kazi uliojengwa ndani wa mtoaji ili kusiwe na ufunguo wa wingu wa muda mrefu hata mmoja kwenye bomba lako, na utumie OIDC na OAuth 2.0 zilizo tayari badala ya kubuni ushughulikiaji wa tokeni usioweza kuugharamia kuudumisha.

Biashara ndogo. Bila mtaalamu wa utambulisho kwa wafanyakazi, pendelea SSO na MFA zilizojumuishwa tayari kwenye zana unazolipia, na uziwashe badala ya kutafuta jukwaa tofauti. Chukulia tatizo la mwanachama-mpya-mhamiaji-mwondokaji kama orodha hakiki fupi iliyoandikwa iliyofungwa kwa anayemiliki uajiri, na upendelee passkeys kwa sababu zinaondoa mzigo wa dawati la msaada wa kuweka upya nenosiri ambao huwezi kumwacha yeyote ashughulikie. Epuka kuingia kunakoshirikiwa, kwa kuwa ni tabia ya bei nafuu inayofanya baadaye uhusishaji na kubatilisha kutowezekana.

Biashara kubwa. Kazi ni kuunganisha na utawala kuvuka saraka na timu nyingi: mtoaji mmoja wa utambulisho mwenye mamlaka anayeendeshwa na mfumo wa rasilimali watu, mtiririko wa kiotomatiki wa mwanachama-mpya-mhamiaji-mwondokaji, RBAC kwa kazi za kazi na ABAC kwa muktadha, na usimamizi wa ufikiaji wenye upendeleo wenye kurekodi vipindi. Onyesha uidhinishaji kama sera-kama-msimbo ili mabadiliko yaweze kulinganishwa na kujaribiwa, endesha mapitio yaliyopangwa ya ufikiaji yanayobatilisha kweli, na usawazishe kiolesura ili programu ziunganishwe na utambulisho wa kati badala ya kila moja kukuza kuingia kwake.

Serikali. Kanuni za ununuzi, uwazi, na uwajibikaji wa umma huendesha usanifu. Funga uthibitishaji kwa vitambulisho vya maunzi kama kadi mahiri za PIV au CAC, weka viwango vya uhakikisho wa utambulisho kulingana na NIST SP 800-63 ili mifumo yenye hatari kubwa idai vipengele vya uhakikisho wa juu, na uweke kumbukumbu za ukaguzi zisizobadilika zinazojibu hasa nani alifikia nini na lini. Chapisha ushughulikiaji wa lugha rahisi wa utambulisho unaomkabili raia, tenganisha mirundiko ya utambulisho wa wateja na wafanyakazi, na hakikisha kila kitendo chenye upendeleo kwenye mfumo nyeti kinawezeshwa na kurekodiwa kwa wakaguzi watakaouliza.

Mifano

Kampuni changa. Kampuni changa ya watu ishirini haiwezi kuajiri timu ya utambulisho, kwa hiyo inanunua moja. Kila mfanyakazi anaingia kupitia mtoaji mmoja wa utambulisho anayeendeshwa na mtu mwingine mwenye SSO kwenda barua pepe, upangishaji wa msimbo, kiweko cha wingu, na programu ya ndani, na passkeys zinahitajika ili hakuna manenosiri ya kuhadaa. Kuondoa ni mbofyo mmoja: kumzima mtu kwenye mtoaji wa utambulisho kunakata ufikiaji kila mahali kwa wakati mmoja. Kwa bidhaa yao wenyewe, wanatumia OIDC kwa kuingia kwa watumiaji na OAuth 2.0 kuruhusu uunganishaji kuita API yao kwa tokeni zenye wigo. Uthibitishaji wa huduma-hadi-wingu unatumia utambulisho wa mzigo wa kazi uliojengwa ndani wa mtoaji, kwa hiyo hakuna ufunguo wa wingu wa muda mrefu hata mmoja popote kwenye bomba lao. Hii inagharimu ada ndogo ya kila kiti na inawanunulia msimamo wa utambulisho ulio imara zaidi kuliko mashirika makubwa mengi yanayoendesha.

Biashara kubwa. Benki ya kimataifa imekusanya kwa muongo saraka nne na mamia ya programu, baadhi zikiwa na muungano wa SAML, nyingine zikiwa na kuingia kwao kwa ndani. Inafadhili programu ya kuunganisha: mtoaji mmoja wa utambulisho mwenye mamlaka, anayeendeshwa na mfumo wa rasilimali watu, na mtiririko wa kiotomatiki wa mwanachama-mpya-mhamiaji-mwondokaji unaotoa wakati wa kuajiriwa na kubatilisha ndani ya dakika za kusitishwa kazi. RBAC inafunika kazi za kawaida huku ABAC ikitekeleza kanuni za makazi ya data na idhini kwa ufikiaji wa kuvuka mipaka. Wasimamizi hawashikilii ufikiaji wa uzalishaji wa kudumu; wanaomba kuinuliwa kwa wakati-tu kupitia mfumo wa usimamizi wa ufikiaji wenye upendeleo unaorekodi kila kipindi. Mapitio ya ufikiaji ya kila robo mwaka yanawalazimisha wamiliki wa mifumo kuthibitisha upya au kubatilisha, na kila uamuzi unaonyeshwa kama sera-kama-msimbo ili wakaguzi walinganishe hasa kilichobadilika na lini.

Serikali. Wakala wa shirikisho unatoa kadi mahiri za uthibitisho wa utambulisho wa kibinafsi (PIV), na sawa ya kijeshi, kadi ya ufikiaji wa kawaida (CAC), kwa wafanyakazi wake, kwa hiyo uthibitishaji umefungwa kwa kitambulisho cha maunzi badala ya nenosiri. Programu yake ya utambulisho inafuata mbinu ya shirikisho ya utambulisho, vitambulisho, na usimamizi wa ufikiaji (FICAM) na kuweka viwango vya uhakikisho wa utambulisho kulingana na mwongozo wa Taasisi ya Taifa ya Viwango na Teknolojia NIST SP 800-63, kwa hiyo mifumo yenye hatari kubwa inadai vitambulisho vya uhakikisho wa juu. Huduma zinazomkabili raia zinatumia mrundiko tofauti wa utambulisho wa wateja kwa kiwango cha chini cha uhakikisho wenye MFA imara. Mapitio ya ufikiaji na kumbukumbu za ukaguzi zisizobadilika zinalisha moja kwa moja ushahidi wa idhini endelevu wa wakala (sura ya 4.6), na kila kitendo chenye upendeleo kwenye mfumo wa siri kinawezeshwa na kurekodiwa.

Kesi ya biashara: sababu, ROI, na TCO

Faida ya uwekezaji wa utambulisho inatokana na kuhamisha njia yenu kuu ya uvunjaji kutoka eneo la hatari. Vitambulisho vilivyoibiwa na akaunti zenye ruhusa nyingi kupita kiasi huendesha sehemu kubwa ya matukio halisi, na kila moja hubeba mkia mzito: jibu la tukio, faini za udhibiti, arifa za uvunjaji, na uharibifu wa kudumu wa sifa. MFA inayostahimili hadaa peke yake huondoa njia ya kawaida zaidi ya uvamizi, na kuondoa ufikiaji kiotomatiki hufunga pengo la akaunti yatima linalogeuza kuondoka kwa kawaida kuwa mfiduo. Hizi ni miongoni mwa upunguzaji wa hatari wa bei nafuu zaidi unaopatikana kwa kila dola inayotumika.

Jumla ya gharama ya umiliki ni halisi lakini ina mipaka. Inajumuisha leseni ya mtoaji wa utambulisho, jukwaa la usimamizi wa ufikiaji wenye upendeleo na siri, uhandisi wa kuunganisha kila programu kwenye utambulisho wa kati, na juhudi endelevu ya mapitio ya ufikiaji. Gharama kubwa zaidi ni ya kishirika: kuunganisha saraka na kuongeza SSO kwenye programu za urithi ni kazi ya polepole, isiyovutia inayoshindania vipengele. Ipime dhidi ya mbadala. Utambulisho uliogawanyika unatumia fedha zilezile milele katika umbo la kuondoa kwa mkono, mbio za ukaguzi, na kuweka upya manenosiri kwenye dawati la msaada, pamoja na gharama ya mwisho ya uvunjaji ambao mgawanyiko unaufanya uwezekane. Unapoweka kesi kwa uongozi, weka utambulisho kama ndege ya udhibiti ya uaminifu-sifuri: kuunganisha na kuotomatisha ni uwekezaji wa mara moja unaopunguza hatari ya uvunjaji na gharama inayojirudia ya ukaguzi, kuondoa, na msaada wa ufikiaji.

Mifumo mibaya na mitego

Akaunti yatima. Ufikiaji unaodumu kuliko mtu au madhumuni, hasa akaunti za huduma zisizofuatiliwa na wakandarasi waliosahaulika.
Msimamizi wa kudumu kila mahali. Ufikiaji wenye upendeleo wa kila wakati badala ya kuinuliwa kwa wakati-tu, ukitoa akaunti yoyote ya msimamizi iliyoathirika nguvu za kudumu.
Funguo tuli za muda mrefu. Vitambulisho vya huduma vilivyobandikwa kwenye usanidi au CI ambavyo havioi kamwe na hatimaye kuvuja.
Mtawanyiko wa saraka. Mtu yuleyule kama akaunti nyingi zisizotawaliwa, kwa hiyo hakuna badiliko linalosambaa kikamilifu.
Akaunti zinazoshirikiwa. Vitambulisho vinavyotumiwa na watu kadhaa, vikiharibu uhusishaji na kufanya kubatilisha kutowezekana.
SMS kama kipengele chako imara. Kuchukulia misimbo ya mara moja inayoweza kuhadaiwa na kuibiwa kupitia SIM kuwa MFA ya kutosha.
Mlipuko wa majukumu. Majukumu mengi mno membamba ya RBAC hadi mfano unakuwa usioweza kukaguliwa na hakuna anayejua jukumu linatoa nini.
Kuondoa ufikiaji kama orodha hakiki ya mkono. Hatua za binadamu za kuondoka ambazo bila shaka hukosa akaunti inayojalisha.
OAuth ikitumika kwa uthibitishaji. Kuchukulia tokeni ya ufikiaji kama uthibitisho wa utambulisho badala ya kutumia OIDC.
Maigizo ya mapitio. Uthibitisho upya wa ufikiaji unaopigwa muhuri bila yeyote kutathmini hitaji kweli.

Kielelezo cha ukomavu

Ngazi ya 1, Kuanzisha: Kila programu ina kuingia kwake. Manenosiri bila MFA thabiti. Utoaji na uondoaji ni wa mkono, wa kuitikia, na wa polepole; akaunti yatima hujilimbikiza. Vitambulisho vya huduma ni funguo tuli za muda mrefu. Hakuna mapitio ya ufikiaji; ruhusa hutolewa na kamwe hazipitiwi tena.
Ngazi ya 2, Kuendeleza: SSO inafunika programu kuu kupitia mtoaji wa kati wa utambulisho, lakini ufikiaji hauna usawa kuvuka timu. MFA inahitajika kwa ufikiaji mwingi wa binadamu. RBAC ya msingi ipo. Mwanachama-mpya-mhamiaji-mwondokaji umeotomatishwa kwa sehemu kutoka mfumo wa rasilimali watu. Baadhi ya akaunti zenye upendeleo zimewekwa kwenye hazina. Mapitio ya ufikiaji hufanyika mara kwa mara na bila uthabiti.
Ngazi ya 3, Kusawazisha: Mtoaji wa utambulisho aliyeunganishwa ana mamlaka kwa wafanyakazi, na utoaji wa kiotomatiki na uondoaji wa haraka unatekelezwa shirika zima. MFA inayostahimili hadaa ni kiwango na imeandikwa. RBAC pamoja na ABAC imeonyeshwa kama sera-kama-msimbo. Usimamizi wa ufikiaji wenye upendeleo wenye kurekodi vipindi upo. Utambulisho wa mzigo wa kazi unabadilisha funguo tuli nyingi. Mapitio yaliyopangwa ya ufikiaji yanatekelezwa na kukaguliwa kwa sera iliyoandikwa ambayo kila timu inaifuata.
Ngazi ya 4, Kusimamia: Programu ya utambulisho inapimwa dhidi ya vipimo vya msingi na kudhibitiwa kwa data. Mnafuatilia muda wa kuondoa ufikiaji kutoka mabadiliko ya hali ya rasilimali watu hadi kubatilisha kikamilifu, ufikiaji wa MFA na passkey kwa kundi, idadi ya akaunti zenye upendeleo wa kudumu, idadi ya funguo tuli za muda mrefu zinazotumika bado, hesabu za akaunti yatima, na viwango vya kubatilisha vya mapitio ya ufikiaji. Vipimo vinabeba malengo, kama kubatilisha kikamilifu ndani ya saa moja na utoaji mpya wa msimamizi wa kudumu wa sifuri, na ukiukaji wa kizingiti huchochea uchunguzi badala ya kukunja mabega. Mabadiliko ya uidhinishaji yanajaribiwa kwenye bomba na kila uamuzi wa kwenda au kutokwenda juu ya utoaji wa ufikiaji unaendeshwa na ushahidi, si mazoea.
Ngazi ya 5, Kuratibu: Utambulisho ni ndege ya udhibiti ya uaminifu-sifuri inayoboreshwa mfululizo, iliyounganishwa na usalama, hatari, na upangaji wa mwanachama-mpya-mhamiaji-mwondokaji kuvuka shirika. Passkeys ndizo chaguo-msingi na manenosiri yanastaafishwa. Upendeleo wa kudumu wa sifuri unafikiwa kupitia kuinuliwa kwa wakati-tu, na mizigo yote ya kazi inatumia vitambulisho vya muda mfupi vinavyozungushwa kiotomatiki na mTLS. Uidhinishaji ni sera-kama-msimbo kikamilifu. Mapitio ya ufikiaji ni endelevu na yanaendeshwa na hatari, kuondoa ufikiaji ni karibu papo hapo, na kila uamuzi unazalisha ushahidi wa ukaguzi kiotomatiki. Mfano unajirekebisha ishara za hatari zinapohama, ukibana au kulegeza ufikiaji kwa nguvu badala ya kwa mzunguko uliowekwa.

Mawazo ya kujadili

Ingehitaji nini kufikia ufikiaji wa msimamizi wa kudumu wa sifuri, na njia gani ya dharura ingefanya hilo kuwa salama?
Wapi ABAC inastahili ugumu wake katika mazingira yenu dhidi ya kubaki na RBAC ya kawaida?
Mnapaswa kustaafisha manenosiri kwa ukali kiasi gani kwa kupendelea passkeys, na mtiririko gani wa kurejesha unayabadilisha?
Programu zipi bado ziko nje ya mtoaji wenu wa kati wa utambulisho, na nini kinaziweka huko?
Mnawapaje washirika na wateja ufikiaji wenye wigo bila kurithi usafi wao wa usalama?
Kipimo kipi kimoja kinanasa vizuri kasi yenu ya kuondoa ufikiaji, na je, mnakipima leo?

Mambo muhimu ya kukumbuka

Uthibitishaji huthibitisha wewe ni nani; uidhinishaji huamua unaweza kufanya nini. Vibuni na vipitie kando.
Unganisha kwenye mtoaji mmoja wa utambulisho mwenye mamlaka mwenye SSO; mtawanyiko wa saraka ni kasoro ya usalama, si urahisi.
Otomatisha mzunguko wa mwanachama-mpya-mhamiaji-mwondokaji na ufanye kuondoa ufikiaji kuwa kwa haraka na kuthibitika.
Tumia OIDC kwa kuingia kwa mtumiaji, OAuth 2.0 kwa ufikiaji wa API uliokabidhiwa, na SAML pale katalogi ya shirika inapohitaji; usitumie OAuth kama uthibitishaji.
Hamisha uthibitishaji kuelekea passkeys na WebAuthn zinazostahimili hadaa; hitaji MFA kila mahali na uchukulie vipengele dhaifu kama suluhisho la muda.
Tekeleza upendeleo mdogo kwa ufikiaji wa wakati-tu na usimamizi wa ufikiaji wenye upendeleo; lenga haki za msimamizi wa kudumu za sifuri.
Wape mashine utambulisho halisi kwa vitambulisho vya mzigo wa kazi vya muda mfupi na mTLS; ondoa funguo tuli za muda mrefu.
Fanya utambulisho kuwa ndege ya udhibiti ya uaminifu-sifuri (sura ya 4.1), na ufunge mzunguko kwa mapitio endelevu ya ufikiaji na ushahidi wa ukaguzi (sura ya 4.6).

Marejeo na usomaji zaidi

National Institute of Standards and Technology, SP 800-63: Digital Identity Guidelines (identity assurance, authentication, and federation levels)
National Institute of Standards and Technology, SP 800-207: Zero Trust Architecture
National Institute of Standards and Technology, SP 800-162: Guide to Attribute Based Access Control (ABAC) Definition and Considerations
National Institute of Standards and Technology, SP 800-53: Security and Privacy Controls, Access Control (AC) and Identification and Authentication (IA) families
The OAuth 2.0 Authorization Framework, IETF RFC 6749, and the OAuth 2.0 Security Best Current Practice
OpenID Connect Core 1.0 specification, OpenID Foundation
Security Assertion Markup Language (SAML) 2.0 specification, OASIS
Web Authentication (WebAuthn) Level 2, W3C Recommendation, and FIDO2 / FIDO Alliance passkey specifications
Federal Identity, Credential, and Access Management (FICAM) architecture and playbooks, U.S. General Services Administration
FIPS 201, Personal Identity Verification (PIV) of Federal Employees and Contractors
Open Policy Agent (OPA) documentation, Cloud Native Computing Foundation (policy-as-code for authorization)