Vercel uzun ömürlü static credential'ların ortadan kalkmasını istiyor ve bunun için OIDC araçları sunuyor

Vercel, uzun ömürlü static credential'ların ortadan kaldırılması için kapsamlı bir savunu yayımladı; günümüzdeki makineden makineye kimlik doğrulamasını 2010'daki web şifrelemesinin durumuna benzetiyor ve bu savunucuyu kendi platformundaki ürün değişiklikleri, API sağlayıcıları için yeni araçlar ve Marketplace entegrasyonları için daha katı kimlik doğrulama gereksinimleriyle destekliyor.

Savunucu

Bir blog yazısında Vercel, Google, Let's Encrypt, EFF ve diğerlerinin hassas sayfalara özgü bir korumadan her isteğin varsayılanına taşıdığı "her yerde HTTPS" kampanyasıyla bir paralellik kuruyor. Şirket, OAuth ve OIDC gibi standartların güvenli makineden makineye kimlik doğrulamasının yapı taşlarını zaten sağladığını, ancak tek başına standartların şifrelemeyi olağan hale getirmediğini; bunu başaran şeyin, işi kolaylaştıran araçlar ve bunu beklenti haline getiren sürekli baskı olduğunu savunuyor.

Uygulamaların yeniden kullandığı, çoğu zaman son kullanma tarihi olmayan API anahtarları ve veritabanı parolaları anlamına gelen uzun ömürlü static credential'lar, birçok SaaS sağlayıcısında ve altyapı sağlayıcısında hâlâ varsayılan durumda. Vercel bunların başarısız olduğu birkaç yolu tespit ediyor: anahtarlar depolara veya sohbetlere sızıyor, bir servis veya bağımlılık ele geçirildiğinde çalınıyor ve giderek artan biçimde prompt injection bir yapay zeka ajanını kandırıp bunları ifşa ettiğinde açığa çıkıyor. Yol ne olursa olsun, saldırgan anahtar süresi dolana veya biri onu iptal edene kadar kimlik bilgisinin izinlerini elinde tutuyor. Vercel, daha önce önleyici anahtar rotasyonlarına binlerce mühendislik saati harcadığını ve bu deneyimi bir daha asla yaşamak istemediğini ekliyor.

Önerilen alternatif OIDC federation: güvenilir bir issuer uygulamaya imzalı, kısa ömürlü bir token veriyor ve alan servis, ne tür bir erişim vereceğine karar vermeden önce bu token'ı doğruluyor. Çalınan bir token süresi dolduğunda kendiliğinden çalışmaz hale geliyor ve uygulamalar, kalıcı bir anahtarı dağıtmak ve elle döndürmek yerine yeni kimlik bilgilerini programatik olarak alıyor. Vercel'e göre OIDC federation hizmeti 2024'ten beri genel kullanımda ve platformda çalışan uygulamaların, proje ve ortam kapsamlı güven politikaları altında Vercel tarafından verilen kimlik token'larını geçici AWS, Google Cloud ve Azure kimlik bilgileriyle takas etmesini sağlıyor.

Vercel ne sunuyor

Yazı birkaç somut bileşen duyuruyor:

• Vercel Connect: uygulamalar ve ajanlar, runtime'da sağlayıcı token'ları istemek için dağıtım kimliklerini kullanıyor; böylece uzun ömürlü sağlayıcı gizli anahtarları artık environment variable'larda durmuyor.
• OIDC UI: bir güven politikası yapılandırıcısı ve sunucu tarafı bir token doğrulayıcısı içeren, Vercel, GitHub, GitLab, Google, Bitbucket, AWS, Azure ve özel OIDC issuer'larını kapsayan sağlayıcı formlarıyla bir shadcn/ui bileşen kaydı. Amaç, bir sağlayıcının müşterilerinin belirli bir Vercel proje ortamı için güveni yapılandırabilmesi ve gelen token'ları bu mekanizmayı kendisi inşa etmek zorunda kalmadan doğrulayabilmesi.
• Blob, AI Gateway ve Sandbox dahil Vercel'in kendi servislerinde ve ayrıca Vercel API ve CLI'da genişletilmiş OIDC desteği; bu da dağıtım iş akışlarından uzun ömürlü Vercel token'larını kaldıracak.

Benimseme açığı

Vercel'in 1.000'den fazla SaaS sağlayıcısıyla yaptığı bir ankete göre yalnızca %8,4'ü güvenli kimlik doğrulama yöntemlerini destekliyor. Şirket, yavaş benimsemeyi üç engele bağlıyor: güvenli kimlik doğrulamayı statik bir anahtar yapıştırmaktan daha karmaşık hale getiren araçlar ve kurulum, istek yolunda token alma veya takas etmeden kaynaklanan ek gecikme ve sağlayıcıların bunu sunması ve önceliklendirmesi için zayıf teşvikler.

Gecikme konusunda Vercel, Vercel Functions'ın istek başlığında SDK'nın ek bir ağ çağrısı yapmadan okuduğu platform tarafından verilen bir token aldığını, süresi dolmamış token'ların yeniden kullanıldığını ve Vercel Connect'in sağlayıcı token'larını süreç içinde önbelleğe alıp süreleri dolmadan yenilediğini söylüyor. Özel audience ve sağlayıcı takasları hâlâ ağ çağrısı gerektiriyor. Örnek olarak yazı, bir uygulamanın veritabanı anahtarı depolamak yerine Vercel OIDC token'ını Azure'ın ClientAssertionCredential sınıfına besleyerek geçici kimlik bilgileriyle Azure Cosmos DB'ye eriştiğini gösteriyor.

Vercel ayrıca Marketplace'i bir kaldıraç olarak kullanmayı planlıyor; sağlayıcılar için yeni kimlik doğrulama gereksinimleri belirliyor ve bir geliştirici bir servise bağlandığında kimlik tabanlı kimlik doğrulamayı ayrı bir kurulum adımı olarak değil, otomatik olarak yapılandıran entegrasyonlara doğru çalışıyor.

Neden önemli

HTTPS karşılaştırması iddianın süsü değil özü. Benzetme tutarsa, environment variable'lardaki API anahtarları üzerine kurulu dağıtım hatları ve üçüncü taraf entegrasyonları yeni düz HTTP'tir: bugün çalışıyor ama bir gün miras bir yükümlülük olarak görülme yolunda. CI/CD ve ajan odaklı iş akışları yürüten ekipler, kısa ömürlü federasyonlu token'lara doğru kademeli bir geçiş beklemeli; yalnızca statik anahtar sunan sağlayıcılar Vercelinki gibi marketplace'lerin dışında bırakılabileceklerini görebilir. Yapay zeka ajanları bu hesabı daha da büyütüyor; çünkü ajanlara devredilen kimlik bilgileri çoğu zaman eldeki görevin çok ötesinde izinler taşıyor ve prompt injection yoluyla sızdırılabiliyor, bu da otomatik süre dolmasını bir lüks değil anlamlı bir savunma haline getiriyor. %8,4'lik oran, bu geçişin gerçekten gerçekleşmesi için ekosistemin ne kadar büyük bir bölümünün henüz hareket etmesi gerektiğini gösteriyor.