التحقق من الهوية والجهاز

موفّر الهوية هو النظام المركزي الذي يصادق على المستخدمين ويصدر رموزًا مميزة للخدمات الأخرى. ويدعم موفرو الهوية العصريون SSO وMFA والوصول المشروط. ومن أمثلتهم: Okta وAzure AD (Entra ID) وGoogle Workspace وPing Identity.

يتيح SSO للمستخدمين المصادقة مرة واحدة لدى IdP والوصول إلى تطبيقات متعددة دون إعادة إدخال بيانات الاعتماد. ويعتمد على بروتوكولي SAML 2.0 أو OIDC. وتتمثل فائدته الأمنية في أن عددًا أقل من بيانات الاعتماد يعني فرصًا أقل لسرقتها؛ كما تُركز ضوابط الأمان في IdP.

بروتوكولا SSO السائدان:

• SAML 2.0 — قائم على XML، مخصص للمؤسسات، وتدعمه التطبيقات القديمة على نطاق واسع
• OIDC (OpenID Connect) — قائم على JSON/JWT، حديث، مبني على OAuth 2.0، وتستخدمه تطبيقات السحابة والهواتف المحمولة

يفوّض كلا البروتوكولين المصادقة إلى IdP ويعيدان رمزًا مميزًا موقّعًا إلى التطبيق.

يدعم موفرو الهوية العصريون الوصول المشروط: أي اتخاذ قرارات الوصول بناءً على مؤشرات المخاطر:

• دور المستخدم وعضويته في المجموعات
• حالة امتثال الجهاز
• الموقع الجغرافي
• وقت اليوم
• درجة المخاطر (شذوذ تسجيل الدخول)

تؤدي مؤشرات المخاطر العالية إلى تفعيل MFA تصاعدي أو حظر الوصول بالكامل.

يسجّل MDM الأجهزة ويديرها، ويفرض سياسات الأمان:

• فرض رقم PIN أو مصادقة حيوية لقفل الشاشة
• فرض تشفير القرص
• فرض تحديثات نظام التشغيل
• إتاحة المسح عن بُعد
• الإبلاغ عن الامتثال إلى IdP لاستخدامه في الوصول المشروط

ومن أمثلته: Microsoft Intune وJamf (Apple) وVMware Workspace ONE.

تربط شهادات الأجهزة هوية تشفيرية بكل جهاز مُدار. وتُصدرها هيئة شهادات مؤسسية عبر MDM. ويمكن لسياسات الثقة الصفرية أن تشترط وجود شهادة جهاز صالحة قبل منح الوصول — فتُحظر الأجهزة الشخصية غير المُدارة حتى مع بيانات اعتماد مستخدم صحيحة.

تستخدم الثقة الصفرية بيانات القياس عن بُعد من EDR بوصفها مؤشرًا على سلامة الجهاز. ويمكن لموفّر الهوية الاستعلام عما إذا كان EDR مثبتًا ويعمل بصورة سليمة قبل منح الوصول. ويؤدي اكتشاف جهاز مخترق بواسطة EDR إلى إبطال الوصول تلقائيًا عبر تكامل الوصول المشروط.

يمنح الوصول في الوقت المناسب (JIT) (PIM — إدارة الهويات ذات الامتيازات) صلاحيات مرتفعة فقط عند الحاجة، ولمدة محدودة، مع اشتراط الموافقة. ولا توجد أدوار مسؤولين معيّنة بشكل دائم. يطبّق ذلك Azure AD PIM وبيانات الاعتماد المؤقتة في AWS IAM وHashiCorp Vault.

تحتاج التطبيقات أيضًا إلى التحقق من الهوية. ومن الأساليب:

• حسابات الخدمة ذات الرموز المميزة قصيرة العمر
• mTLS — بروتوكول TLS متبادل يقدّم فيه العميل والخادم شهادات
• SPIFFE/SPIRE — إطار عمل لهوية أحمال العمل للخدمات المصغّرة

في بيئات SaaS والسحابة، يمنع عزل الهوية الوصول بين المستأجرين. يجب عزل مساحة هوية كل عميل عن غيرها عزلًا صارمًا. ويُعد الخطأ الذي يتيح لأحد المستأجرين الوصول إلى بيانات مستأجر آخر ثغرة خطيرة.

بالإضافة إلى المصادقة اليومية، تضمن حوكمة الهوية ما يلي:

• مراجعات وصول دورية (اعتمادات) — يراجع المديرون من لديه صلاحية الوصول
• توفير الحسابات وإلغاء توفيرها آليًا عبر SCIM
• اكتشاف الحسابات اليتيمة وإزالتها
• فرض فصل المهام

أي مكوّن من مكوّنات الثقة الصفرية يمنح صلاحيات مرتفعة عند الحاجة فقط، ولمدة محدودة، وبعد الحصول على الموافقة — بدلًا من تعيين أدوار المسؤولين بشكل دائم؟

هوية الثقة الصفرية: موفّر هوية مركزي مع SSO (SAML/OIDC) وMFA وسياسات الوصول المشروط. والتحقق من الأجهزة عبر فحوصات امتثال MDM وشهادات الأجهزة. ويزيل JIT/PIM امتيازات المسؤولين الدائمة. وتتحقق هوية الخدمات عبر mTLS وSPIFFE. وتضمن حوكمة الهوية، من خلال مراجعات الوصول والتوفير الآلي عبر SCIM، الحفاظ على أقل قدر من الامتيازات بمرور الوقت.