Een aparte sleutel voor automatisering in plaats van een gedeeld wachtwoord: tokens en hun grenzen

Een back-upscript, een bewakingstool of een uitrolklus moet verbinding maken met het systeem. De eerste reflex is er een wachtwoord aan te geven, en meestal dat van het account met de meeste rechten. Daar begint het probleem.

Wat een gegeven wachtwoord weggeeft

Een wachtwoord hoort bij een persoon. Geef je het aan een script, dan heb je alles gegeven wat die persoon heeft, en bovendien in leesbare tekst in een bestand. Verandert het wachtwoord, dan staat de automatisering stil, en vertrekt de persoon, dan wordt het wachtwoord gewijzigd, maar dat de automatisering eraan hing wordt meestal juist die dag herinnerd.

Wat een token doet

Een token is een aparte sleutel die aan een account hangt. Hij scheidt drie dingen: hij is los in te trekken, hij kan een eigen einddatum dragen, en omdat hij een naam heeft weet je welke klus hem gebruikt. Eén automatisering kunnen uitzetten zonder een wachtwoord te wijzigen lijkt een detail; naarmate de opstelling groeit blijkt dat het nuttigste.

De echte vraag: wat de token mag

De belangrijkste instelling van een token is of hij de bevoegdheid van het account ongewijzigd meedraagt. Doet hij dat, dan is de token even machtig als zijn eigenaar. Is de eigenaar volledig bevoegd, dan is de token dat ook, en hij woont nu in een bestand op de een of andere machine.

Met de scheiding aan houdt de token alleen de bevoegdheid die aan de token zelf is gegeven. Een back-upscript geef je net genoeg om back-ups te maken, en zelfs als dat script gecompromitteerd raakt, is dat alles wat weggaat. Kies standaard de smalle kant en open de brede alleen bewust.

Het geheim wordt één keer getoond

Bij het aanmaken van een token zie je het geheim één keer. Dat is geen gril van de interface: het systeem bewaart die waarde niet in leesbare vorm. Raak je hem kwijt, dan maak je een nieuwe aan, en dat is het juiste gedrag. Kon hij ergens teruggelezen worden, dan zou dat pas het echte probleem zijn.

Waar de sleutel uiteindelijk woont

Waar de sleutel ligt telt zwaarder dan hoe sterk hij is. Een script dat in een repository is gezet, een configuratie die in een back-upbestand terechtkwam, een venster dat op een schermafbeelding staat: ze dragen allemaal de sleutel. Beslis waar hij geschreven wordt voordat je hem aanmaakt.

Einddatum en vernieuwing

Een sleutel met een einddatum houdt op een dag op een risico te zijn, ook als niemand omkijkt. Een sleutel zonder leeft jaren en overleeft meestal degene die hem aanmaakte. Zet bij elke sleutel een notitie: welke klus hem gebruikt, wie ervoor instaat.

Wat Atlas doet

Atlas beheert tokens per account. Bij het aanmaken staat het gescheiden houden van de tokenbevoegdheid standaard aan: de smalle kant is het beginpunt en verbreden is een bewuste stap. Het geheim wordt op het moment van aanmaken één keer getoond en niet in het paneel bewaard. Bestaande tokens staan in een lijst met hun notitie en einddatum, zodat de vraag "welke automatisering op deze machine verbindt met welke sleutel" lezend wordt beantwoord.