- Cloudflare’ın Signed Agents politikası güvenliği gerekçe gösterse de, gerçekte web erişimini izinli hale getirmeye yönelik kapalı bir girişim
- Web tarihsel olarak açıklık ve standartlar sayesinde büyüdü; Flash ve Silverlight gibi kapalı teknolojiler sonunda HTML5 gibi açık standartlara yenilip ortadan kayboldu
- Gelecekte web’in başlıca kullanıcıları AI ajanları olacak; bunun için dağıtık ve doğrulanabilir kimlik doğrulama sistemi ile görev bazlı yetkilendirme gerekiyor
- Doğru model, zincir tabanlı yetki devri + istek bazlı kanıtı birleştirerek güvenilir kimlik doğrulama ve ayrıntılı yetki kontrolü sağlamaktır
- Anahtarların belirli bir şirketin elinde olması yerine, herkesin katılıp yenilik yapabileceği bir web’i açık protokoller ve standartlar aracılığıyla korumak gerekir
Cloudflare’ın Signed Agents önerisine eleştiri
- Cloudflare yeni bir Signed Agents sistemi önerdi, ancak bu fiilen izin listesi tabanlı erişim kontrolü anlamına geliyor
- Belirli bir şirketin bir ajanın kaydedilip kaydedilmeyeceğine karar vermesi, internet protokolü değil yalnızca bir tedarikçi onay mekanizmasıdır
- Bu, internetin açık doğasıyla çelişir; “form doldurup izin almak” bir standart olamaz
Web açık kalmalı
- Microsoft’un 90’lardaki “embrace and extend” stratejisi başarısız oldu; bu da web’in açıklığını korumuş olması sayesinde mümkün oldu
- Flash ve Silverlight gibi kapalı çalışma zamanları, sonunda HTML5 adlı açık standart tarafından yer değiştirildi
- Tarih, açık standartların yeniliği teşvik ettiğini defalarca kanıtladı
Ajan çağının gelişi
- AI ajanları gelecekte web’in temel kullanıcıları olacak ve bilgi arama, otomasyon, ödeme, sözleşme müzakeresi gibi işleri yürütecek
- İnsan ile ajanın eylemleri arasındaki sınır bulanıklaşacak; bu da yetki devrine dayalı bir kimlik doğrulama sistemini zorunlu kılıyor
Kimlik doğrulama (Authentication) ve yetkilendirme (Authorization)
- Kimlik doğrulama: Eylemi kim gerçekleştiriyor?
- Yetkilendirme: Ne yapabilir?
- Cloudflare bu iki kavramı karıştırıp tüm sorunları bir “pasaportla” çözmeye çalışıyor, ancak bu temelden imkansız
- Doğru kimlik doğrulama, yetki devri zinciri ve istek bazlı imzalar ile uygulanmalı; DNS tabanlı açık anahtar yayımı gibi dağıtık doğrulama mekanizmaları kullanılmalı
Yetki yönetimi
- Mevcut yazılımlarda sınırlı kapsam sayesinde OAuth scope modeli iyi çalıştı
- Ancak ajanlar genel amaçlı olduğundan görev bazlı (Task-Scoped) yetkilendirme gerekiyor
- Örneğin: “akşam yemeği ödemesi” yetkisi ile “3 aylık harcama geçmişini görüntüleme” yetkisi, aynı ajan için bile farklı token’lara sahip olmalı
- Bunun için Macaroons, Biscuits gibi kısıt tabanlı token’lar ve OPA/AWS Cedar gibi politika motorları kullanılabilir
Önce protokol, bekçileri dışarıda bırak
- Kimlik doğrulama, yetkilendirme ve gelir elde etme mekanizmaları belirli bir şirketin değil, açık ve birlikte çalışabilir standartların üzerinde kurulmalı
- Az sayıdaki şirket ajanların geçerliliğine karar verirse web hızla kapalı bir bahçeye (Walled Garden) dönüşür
- Bu nedenle zincir tabanlı yetki devri, istek bazlı kanıt ve görev kapsamlı yetkilendirme açık kaynak olarak öneriliyor ki herkes uygulayabilsin
Sonuç
- Web’in geleceği “kapıyı kimin kontrol ettiği”ne değil, herkesin birlikte inşa edip yenilik yapabileceği protokollere bağlı
Henüz yorum yok.