Valore dell'autenticazione tra servizi

Se si sta chiedendo se ci sono minacce attenuate in parte dall'autenticazione nelle chiamate di servizio interne, la risposta è sì. Se stai chiedendo se valga la pena di fare qualcosa che dipende dal costo e dal rischio.

Ecco alcune delle minacce:

1. Server compromesso
2. Protezione DMZ compromessa
3. Registri di appliance di rete vulnerabili
4. Componente di terze parti compromesso
5. Dipendente dannoso

Elenco abbastanza breve.

Non penso sia normale impostare SSL interno con i certificati client a meno che non si tratti di un'applicazione sensibile, ad es. qualcosa che gestisce numeri CC o altri target di alto valore.

I vantaggi sono:

1. Se l'utente è già autenticato, passa senza problemi sul secondo sistema senza dover digitare nuovamente le proprie credenziali (vale a dire, nome utente e password) ancora una volta
2. L'utente deve solo ricordare un singolo set di credenziali.
3. L'amministratore non ha bisogno di gestire la sincronizzazione delle password tra i due sistemi.
4. Più sicuro, perché l'autenticazione è basata sulla fiducia utilizzando crittografia a chiave pubblica , invece di condividere le credenziali tra i sistemi.

Di solito i servizi privati i cui clienti sono altri servizi richiedono autorizzazione , non autenticazione . La differenza è che il primo descrive quali diritti o privilegi viene fornito la richiesta, mentre il secondo definisce quale entità ha originato la richiesta.

Un database è un esempio di un servizio privato. Considera un'applicazione che comunica con il database. Importa meno che l'applicazione si autentichi sul database, che il database garantisce che l'applicazione non abbia i diritti di un DBA, per esempio, chiudere il database o eliminare tutte le tabelle.

Le informazioni di autenticazione sono spesso costose da eseguire e una volta eseguite con produrre informazioni di autorizzazione. Di conseguenza, l'autenticazione viene eseguita in modo univoco una volta al "bordo" del sistema, mentre l'autorizzazione fornita con il singolo atto di autenticazione deve essere eseguita attraverso tutta l'elaborazione che avviene all'interno del sistema per conto dell'entità autenticata.