Проверка личности и устройства

Поставщик удостоверений — это центральная система, которая аутентифицирует пользователей и выдаёт токены другим сервисам. Современные IdPs поддерживают SSO, MFA и условный доступ. Примеры: Okta, Azure AD (Entra ID), Google Workspace, Ping Identity.

SSO позволяет пользователям один раз пройти аутентификацию через IdP и получить доступ к нескольким приложениям без повторного ввода учётных данных. Технология основана на протоколах SAML 2.0 или OIDC. Преимущество для безопасности: меньше учётных данных — меньше возможностей для их кражи; средства контроля безопасности централизованы в IdP.

Два основных протокола SSO:

• SAML 2.0 — на основе XML, корпоративный, широко поддерживается устаревшими приложениями
• OIDC (OpenID Connect) — на основе JSON/JWT, современный, построен на OAuth 2.0, используется облачными и мобильными приложениями

Оба протокола делегируют аутентификацию IdP и возвращают приложению подписанный токен.

Современные IdPs поддерживают условный доступ: решения о доступе принимаются на основе сигналов риска:

• Роль пользователя и членство в группах
• Статус соответствия устройства требованиям
• Географическое расположение
• Время суток
• Оценка риска (аномалия при входе)

Сигналы высокого риска запускают дополнительную MFA-проверку или полностью блокируют доступ.

MDM регистрирует устройства и управляет ими, обеспечивая соблюдение политик безопасности:

• Требовать блокировку экрана с помощью PIN или биометрии
• Требовать шифрование диска
• Принудительно устанавливать обновления OS
• Предоставлять возможность удалённого стирания данных
• Передавать IdP сведения о соответствии для условного доступа

Примеры: Microsoft Intune, Jamf (Apple), VMware Workspace ONE.

Сертификаты устройств связывают криптографическую идентичность с каждым управляемым устройством. Они выдаются корпоративным CA через MDM. Политики нулевого доверия могут требовать действительный сертификат устройства перед предоставлением доступа — неуправляемые личные устройства блокируются даже при наличии действительных учётных данных пользователя.

Модель нулевого доверия использует телеметрию EDR как сигнал состояния устройства. IdP может проверить, установлен ли EDR и работает ли он исправно, прежде чем предоставить доступ. Скомпрометированное устройство, обнаруженное EDR, приводит к автоматическому отзыву доступа через интеграцию с условным доступом.

Доступ по запросу (PIM — управление привилегированными удостоверениями) предоставляет повышенные привилегии только при необходимости и на ограниченный срок, по согласованию. Постоянно назначенных ролей администратора нет. Azure AD PIM, временные учётные данные AWS IAM и HashiCorp Vault реализуют этот подход.

Приложениям также требуется проверка идентичности. Возможные подходы:

• Служебные учётные записи с краткоживущими токенами
• mTLS — взаимный TLS, при котором и клиент, и сервер предъявляют сертификаты
• SPIFFE/SPIRE — платформа идентичности рабочих нагрузок для микросервисов

В средах SaaS и облачных средах изоляция идентичностей предотвращает доступ между клиентами. Пространство идентичностей каждого клиента должно быть строго изолировано. Ошибка, позволяющая одному клиенту получить доступ к данным другого, является критической уязвимостью.

Помимо повседневной аутентификации, управление удостоверениями обеспечивает:

• Регулярные проверки доступа (сертификация) — менеджеры проверяют, у кого есть доступ
• Автоматическое предоставление и отзыв доступа через SCIM
• Выявление и удаление заброшенных учётных записей
• Принудительное разделение обязанностей

Идентичность в модели нулевого доверия: централизованный IdP с SSO (SAML/OIDC), MFA и политиками условного доступа. Проверка устройств с помощью проверок соответствия требованиям MDM и сертификатов устройств. Доступ по запросу и PIM устраняют постоянно действующие привилегии администраторов. Идентичность сервисов обеспечивается mTLS и SPIFFE. Управление удостоверениями с проверками доступа и автоматическим предоставлением доступа через SCIM гарантирует сохранение минимальных привилегий с течением времени.