Okta'nın 2023 İhlali ile AB'nin 2026 Cüzdan Zorunluluğunun Ortak Yanı

Ve her şeyden önce gelmesi gereken cümle: hiçbiri bizim için kanıt değil. Bu sayfa bir şekli savunuyor. Onu iyi kurduğumuzu savunmuyor, çünkü bu bağımsız olarak kontrol edilmedi.

Birinci olgu, tarihleriyle

20 Ekim 2023'te, büyük bir merkezî kimlik sağlayıcısı olan Okta bir ihlal açıkladı ve müşterilerin %1'inden azının etkilendiğini söyledi.

29 Kasım 2023'te, aynı şirketin baş güvenlik yetkilisi gerçek rakamı doğruladı: müşteri tabanının %100'ü. O sırada bu 18,800 müşteri kuruluşu demekti. Alınan veri adları, e-posta adreslerini, kullanıcı adlarını, şirket adlarını, adresleri, telefon numaralarını, rolleri ve federasyon tanımlayıcılarını içeriyordu.

Aradaki süre sayıdan daha önemli. Kırk gün boyunca, etkilenen her kuruluşun kendi maruziyetine dair anlayışı yanlıştı, ve hiçbiri bunu bağımsız olarak belirleyemezdi. Gerçeğin bir kopyası onlarda yoktu. Satıcıdaydı.

İkinci olgu, atfıyla

eIDAS'ı değiştiren (AB) 2024/1183 sayılı Tüzük, 20 Mayıs 2024'te yürürlüğe girdi. 450 milyondan fazla AB vatandaşını ve yerleşiğini bir dijital kimlik cüzdanının kapsamına alıyor, üye devletler için Aralık 2026 son tarihiyle, ve İzlanda, Lihtenştayn ve Norveç için Aralık 2027'ye bir yıllık uzatmayla.

Bu bir tahmin değil bir yasadır. Okuyabilirsiniz.

Ortak yanları

İkisi de kimliğin tek bir şirketin veritabanı olmaması gerektiğini söyleyen ifadelerdir.

• İhlal bunu gösterimle söylüyor: tek bir destek sistemi ele geçirmesi ona bağlı herkesi açığa çıkardı ve bağlı olanlar kontrol edemedi.
• Düzenleme bunu talimatla söylüyor: tutucu bir cüzdan alıyor, kendi kimlik bilgilerini taşıyor ve neyi göstereceğine karar veriyor.

Ortak özellik kopyanın nerede yaşadığıdır. Bir modelde yetkili kayıt bir sağlayıcıda oturuyor ve herkes onu sorguluyor. Diğerinde kişide oturuyor, ve doğrulama bir satıcıya telefon etmek değil bir açık anahtara karşı matematiksel bir kontroldür.

Merkeziyetsiz kimliğin argümanı budur ve iyi bir argümandır. Biz var olmadan önce de iyi bir argümandı ve hiçbir şey sunmasak da iyi kalıyor. Doğrulanmamış olan fikrin şekli değil bizim uygulamamızdır.

Hiçbir olgunun neden bizim hakkımızda kanıt olmadığı

Bu sayfaların genelde atladığı kısım budur, dolayısıyla:

• Büyük bir sağlayıcıdaki bir ihlal, denetlenmemiş bir test ağının daha güvenli olduğunun kanıtı değildir. Hiçbir dış güvenlik denetimimiz olmadı. Kimsenin saldırmadığı bir sistem, saldırıya dayanmış bir sistem değildir: kimsenin saldırmadığı bir sistemdir.
• AB düzenlemesi içinde olduğumuz bir pazar değil. Hiçbir eIDAS hizalanmamız, hiçbir EUDI uygunluğumuz ve hiçbir türden belgelendirmemiz yok. Kendi iç notlarımız eIDAS ve EBSI'yi standartlarımız arasında sayıyor. Bu yanlıştır ve burada düzeltiyoruz. Bir cüzdan zorunluluğu uyumlu cüzdanlara talep yaratıyor; aynı standartlarla ilgilenmek uygunluk değildir.
• Ölçek bizim lehimize değil aleyhimize işliyor. Birinci olgudaki sağlayıcıya 18,800 kuruluş sayısı sıfırdır. Konumumuzla ilgili hiçbir şey, daha büyük birinin kötü bir ay geçirmesiyle doğrulanmıyor.

Ve kendi kaynak belgemizin söyledikleri, ki reddediyoruz

Bu iki olgunun geldiği iç not ayrıca adı verilmiş satıcılara karşı bir maliyet azaltma yüzdesi, bir çift milyon başına fiyat rakamı ve onların modelini bizim yerine geçtiğimiz model diye tanımlayan bir ifade içeriyor.

Hiçbirini yayımlamıyoruz, ve rakamları çürütmek için bile alıntılamıyoruz: yeniden ifade edilmiş yasaklı bir sayı yine de yayımlanmış bir sayıdır. Bu sitede hiçbir fiyat kesinleşmiş değil; o rakamlar kimseyle yapılmış hiçbir işlemden türetilmedi, çünkü kimseyle hiçbir işlem yapılmadı. Ve "yerine geçmek", bugün çalışan ve müşterileri olan ürünlere karşı hak etmediğimiz bir rekabet konumunu tarif ediyor.

Bunu sessizce kullanmamak yerine adlandırıyoruz, çünkü abartan bir iç belge eninde sonunda dışsal bir belgeye sızma eğilimindedir, ve aynı örüntüyü beşinci kez bulduğunuzda o bir örüntüdür.

Neyin gerçekten kanıt olacağı

Bir rakibin olayı değil. Bir düzenleme değil. Şunlar:

1. Kriptografinin yayımlanmış bir dış güvenlik denetimi.
2. Üretimde bir kimlik bilgisini kabul eden bize bağlı olmayan bir doğrulayıcı taraf: bir tanesi sıfırdan sonsuz kez fazla olurdu.
3. Biz olmayan biri tarafından işletilen bir düğüm.
4. Yayımlanmış bir profile karşı uygunluk testi, sonucu hangi yönde çıkarsa çıksın açık hâlde.

Dördünün hiçbirine sahip değiliz. Birine sahip olduğumuzda, bu üretime hazır mı sayfasında, kanıtı iliştirilmiş hâlde olacak.