Weryfikacja tożsamości i urządzeń

Dostawca tożsamości to centralny system, który uwierzytelnia użytkowników i wydaje tokeny innym usługom. Nowoczesni dostawcy tożsamości obsługują SSO, MFA i dostęp warunkowy. Przykłady: Okta, Azure AD (Entra ID), Google Workspace, Ping Identity.

SSO pozwala użytkownikom uwierzytelnić się raz u dostawcy tożsamości i uzyskać dostęp do wielu aplikacji bez ponownego wprowadzania danych uwierzytelniających. Opiera się na protokołach SAML 2.0 lub OIDC. Korzyść dla bezpieczeństwa: mniej danych uwierzytelniających oznacza mniej możliwości ich kradzieży, a mechanizmy bezpieczeństwa są scentralizowane u dostawcy tożsamości.

Dwa dominujące protokoły SSO:

• SAML 2.0 — oparty na XML, przeznaczony dla przedsiębiorstw, szeroko obsługiwany przez starsze aplikacje
• OIDC (OpenID Connect) — oparty na JSON/JWT, nowoczesny, zbudowany na OAuth 2.0, używany przez aplikacje chmurowe i mobilne

Oba przekazują uwierzytelnianie dostawcy tożsamości i zwracają aplikacji podpisany token.

Nowocześni dostawcy tożsamości obsługują dostęp warunkowy: decyzje dotyczące dostępu są oparte na sygnałach ryzyka:

• Rola użytkownika i członkostwo w grupach
• Stan zgodności urządzenia
• Lokalizacja geograficzna
• Porę dnia
• Ocena ryzyka (anomalia logowania)

Sygnały wysokiego ryzyka uruchamiają dodatkowe uwierzytelnianie MFA typu step-up lub całkowicie blokują dostęp.

MDM rejestruje urządzenia i zarządza nimi, egzekwując zasady bezpieczeństwa:

• Wymagać kodu PIN blokady ekranu lub uwierzytelniania biometrycznego
• Wymagać szyfrowania dysku
• Wymuszać aktualizacje systemu operacyjnego
• Zapewniać możliwość zdalnego wymazania danych
• Raportować zgodność do dostawcy tożsamości na potrzeby dostępu warunkowego

Przykłady: Microsoft Intune, Jamf (Apple), VMware Workspace ONE.

Certyfikaty urządzeń wiążą tożsamość kryptograficzną z każdym zarządzanym urządzeniem. Wydaje je firmowy urząd certyfikacji za pośrednictwem MDM. Zasady Zero Trust mogą wymagać ważnego certyfikatu urządzenia przed przyznaniem dostępu — niezarządzane urządzenia prywatne są blokowane nawet przy prawidłowych danych uwierzytelniających użytkownika.

Zero Trust wykorzystuje telemetrię EDR jako sygnał stanu urządzenia. Dostawca tożsamości może sprawdzić, czy EDR jest zainstalowany i działa prawidłowo, zanim przyzna dostęp. Wykrycie przez EDR przejętego urządzenia powoduje automatyczne odebranie dostępu za pośrednictwem integracji z dostępem warunkowym.

Dostęp JIT (PIM — zarządzanie uprzywilejowanymi tożsamościami) przyznaje podwyższone uprawnienia tylko wtedy, gdy są potrzebne, na ograniczony czas i po uzyskaniu zgody. Brak trwale przypisanych ról administratora. Azure AD PIM, tymczasowe dane uwierzytelniające AWS IAM oraz HashiCorp Vault implementują ten model.

Aplikacje również wymagają weryfikacji tożsamości. Możliwe podejścia:

• Konta usług z krótkotrwałymi tokenami
• mTLS — wzajemny TLS, w którym klient i serwer przedstawiają certyfikaty
• SPIFFE/SPIRE — platforma tożsamości obciążeń dla mikrousług

W środowiskach SaaS i chmurowych izolacja tożsamości zapobiega dostępowi między dzierżawcami. Przestrzeń tożsamości każdego klienta musi być ściśle odizolowana. Błąd umożliwiający jednemu dzierżawcy dostęp do danych innego jest krytyczną podatnością.

Oprócz codziennego uwierzytelniania zarządzanie tożsamością zapewnia:

• Regularne przeglądy dostępu (certyfikacje) — menedżerowie sprawdzają, kto ma dostęp
• Automatyczne nadawanie i odbieranie dostępu za pośrednictwem SCIM
• Wykrywanie i usuwanie osieroconych kont
• Egzekwowanie rozdziału obowiązków

Który komponent Zero Trust przyznaje podwyższone uprawnienia tylko wtedy, gdy są potrzebne, na ograniczony czas i po uzyskaniu zgody — zamiast trwale przypisywać role administratora?

Tożsamość w modelu Zero Trust: scentralizowany dostawca tożsamości z SSO (SAML/OIDC), MFA i zasadami dostępu warunkowego. Weryfikacja urządzeń za pomocą kontroli zgodności MDM i certyfikatów urządzeń. Dostęp JIT/PIM eliminuje stałe uprawnienia administratora. Tożsamość usług jest zapewniana przez mTLS i SPIFFE. Zarządzanie tożsamością obejmujące przeglądy dostępu i automatyczne nadawanie uprawnień za pomocą SCIM zapewnia utrzymanie zasady najmniejszych uprawnień w czasie.