In 2012 het die man wat die pen by OAuth 2.0 gehou het, bedank. Sy redes lees soos 'n voorspelling.

In Julie 2012 het die redakteur van die OAuth 2.0-spesifikasie bedank. Eran Hammer het jare lank die pen gehou: by die IETF is die redakteur die persoon wat die normatiewe teks skryf en die ontwerp beslis terwyl die werkgroep stry, nie 'n proefleser nie. Hy het voor dit die gepubliseerde OAuth 1.0-standaard geredigeer. Hy het sy naam van 2.0 onttrek, weggestap, en 'n veelgelese stuk gepubliseer met die titel "OAuth 2.0 and the Road to Hell".

Sy beswaar was nie akademies nie. Die protokol, het hy geskryf, is uitgehol tot "'n bouplan" wat elke verskaffer in sy eie onversoenbare produk sou insny. Hy het dit "the enterprise way" genoem, die "WS-*-manier". En hy het uitdruklik gewaarsku dat 2.0 "'n hele nuwe grens open om konsultasiedienste en integrasie-oplossings te verkoop". RFC 6749 het drie maande later verskyn, met Dick Hardt se naam daarop in plaas van syne.

Veertien jaar later kos dit sowat 125 dollar per verbinding per maand om die korporatiewe aanmelding aan te skakel wat jou grootste kliënt eis, of dit sit agter 'n vlak met die naam "Enterprise", of agter 'n "kontak verkope"-knoppie wat drie weke byvoeg tot 'n sperdatum waarvoor jy reeds laat was. Hammer het die vorm daarvan in 2012 gesien, van binne die vertrek waar dit besluit is.

Dit is dus die moeite werd om die hele ding terug te loop: wie hierdie standaarde geskryf het, wat hulle gedink het hulle bou, en hoe dit 'n reël op 'n rekening geword het. Die grag wat daaruit gekom het, is werklik. Dit is ook uit twee verskillende materiale gemaak, en net een daarvan hou nog.

Die protokolle was klaar voor die pryse was

Teen 2015 was die standaardiseringswerk in wese gedoen. SAML 2.0 het in Maart 2005 as OASIS-standaard verskyn, wat beteken dit is ouer as die iPhone. OAuth 2.0 is in 2012 as RFC 6749 gepubliseer. OpenID Connect het identiteit in 2014 daarbo gebou. SCIM, die protokol wat gebruikers oor stelsels heen skep en verwyder, het sy 2.0-hersiening (RFC 7642 tot 7644) in September 2015 bereik. Die vier stukke waaruit "ondernemingsverifikasie" bestaan, was meer as 'n dekade gelede reeds gespesifiseer, onderling versoenbaar en vry om te implementeer.

Niks daaraan het sedertdien wesenlik verander nie. 'n SAML-bewering wat vandag onderteken word, lyk soos een wat in 2008 onderteken is. Dit skakel die gewone regverdiging vir 'n premie uit: nuutheid. Ondernemings-SSO is nie 'n grensverleggende funksie wat 'n fortuin kos om aan te hou bou nie, en dit kos 'n verskaffer niks meer om 'n aanmelding te bedien wat oor SAML gekom het as een met 'n wagwoord nie. Dit is gevestigde infrastruktuur. Wat die vraag laat ontstaan waarvandaan die prys kom, as dit nie uit die ingenieurswerk is nie.

Die werkgroepe wat dit geskryf het, was nie verkoopspanne nie

Begin by wie die spesifikasies geskryf het, want dit verklaar baie. SAML het nie uit 'n prysvergadering ontstaan nie. Dit het uit 'n tegniese komitee van OASIS gekom, en die stigtersvoorsitter van daardie groep was Eve Maler, destyds tegnologiedirekteur by Sun Microsystems, wat jare aan die opmerk- en federasiestandaarde gewerk het wat aanmelding tussen maatskappye hoegenaamd moontlik gemaak het. Die uitkoms was 'n openbare dokument wat enigiemand verniet kon implementeer.

Die stemming van daardie era was openheid, nie omheining nie. In Augustus 2005, by O'Reilly se OSCON, het Dick Hardt van Sxip Identity 'n vinnige hoofrede gelewer met die titel "Identity 2.0" wat sedertdien oor en oor gekyk word. Die idee was 'n web waar jou identiteit joune is en draagbaar, saamgedra tussen werwe eerder as toegesluit in elkeen se gids. 'n Jaar later het OAuth op dieselfde manier begin. Blaine Cook, wat aan Twitter se API gebou het, wou 'n manier hê om een toepassing namens jou by 'n ander te laat optree sonder dat gebruikers hul wagwoorde oorhandig, het geen oop standaard daarvoor gevind nie, en het vroeg in 2007 saam met Chris Messina, David Recordon en 'n handjievol ander gaan sit om een te skryf. Die eerste OAuth-spesifikasie het later daardie jaar verskyn. Niemand in daardie groep wou 'n tolhek bou nie. Hulle wou keer dat die web mense se wagwoorde vra.

Waarteen Hammer eintlik gewaarsku het

Toe word die standaard groot, en die vertrek verander. OAuth 2.0 wou die eerste weergawe veralgemeen, en die werkgroep het met groter belange volgeloop. Vergeleke met 1.0, het Hammer op pad uit geskryf, het die uitkoms "meer kompleks, minder onderling versoenbaar, minder nuttig, meer onvolledig, en die belangrikste, minder veilig" geword. Die vergelyking waarna hy gegryp het, die WS-*-stapel van die vorige dekade, was die bedryf se duidelikste voorbeeld van 'n oop spesifikasie wat in 'n mark vir integrasiewerk verander.

Lees dit terug met 'n dekade se nabetragting en dit land soos 'n voorspelling. Die ding wat uiteindelik per verbinding gemeet sou word, is in 2012 reeds gevorm deur die mense wat later die meting sou doen. OpenID Connect het identiteit in 2014 weer op 'n skoon fondament bo-op OAuth 2.0 geplaas, opgestel deur Nat Sakimura by die Nomura Research Institute saam met John Bradley en Mike Jones, en dit is werklik goeie werk waarop die hele bedryf steeds loop. Maar kyk waar die skrywers gesit het: Bradley by Ping Identity, Jones by Microsoft. Die spesifikasies het oop en vry gebly om te implementeer. Die mense wat hulle geskryf het, het toenemend gewerk vir die maatskappye wat die resultaat sou verkoop.

Dieselfde mense wat die standaard geskryf het, het dit gaan verkoop

Die kommersiële laag het nie van buite die standaardwêreld gekom nie. Dit het reguit daaruit gegroei, dikwels deur dieselfde hande. Eve Maler, wat by Sun die groep gelei het wat SAML opgelewer het, het in 2014 by ForgeRock aangesluit as VP van innovasie en later hul tegnologiehoof geword. ForgeRock self is gebou op die identiteitsstapel wat Sun as OpenSSO oopgestel het, en in 2023 is dit by Ping Identity ingevou. Ping bestaan sedert 2002, vroeg genoeg om te help skryf aan die federasiedraaiboek wat dit daarna twee dekades lank verkoop het. Niks hiervan was onderduims nie. Die punt is nouer en vreemder: die oop spesifikasie en die geprysde produk was nooit twee aparte wêrelde nie. Dieselfde kundigheid het albei geskryf.

Die wolkgeslag het die patroon geërf, en die prysinstink het saamgery. Okta is in 2009 gestig deur Todd McKinnon, wat ingenieurswese by Salesforce bestuur het, en Frederic Kerrest; dit het in 2017 op die beurs gegaan en in 2021 6,5 miljard dollar in aandele vir Auth0 betaal. Auth0 was die ontwikkelaarsvriendelike een, in 2013 begin deur twee Argentynse ingenieurs, Eugenio Pace en Matías Woloski, wat mekaar tydens konsultasiewerk ontmoet het en aanmelding in 'n toepassing tot 'n paar API-oproepe wou afskaal. Dat 'n maatskappy wie se hele aanbod ontwikkelaarsgerief was steeds ses en 'n half miljard dollar werd was, is die teken: wie die aanmeldkassie besit, besit 'n pad waaroor elke ander funksie moet ry. Die jongste golf sê die stil deel hardop in sy bemarking. WorkOS, in 2019 gestig deur Michael Grinich, verkoop wat hy die oorsteek van die "enterprise chasm" noem: om 'n produk "enterprise-ready" te maak deur presies die stukke te lewer wat gemeet word, naamlik SSO, gidssinchronisasie en ouditlogboeke. SSO is die ondernemingstuk. By SSO lê die geld. Dus is SSO wat 'n prysetiket kry.

Waarom die prys jou sperdatum volg, nie die kode nie

Rob Chahin het die patroon opgemerk en in 2019 'n openbare lys by sso.tax begin, die "SSO Wall of Shame", wat katalogiseer hoeveel sagtewaremaatskappye vra om SAML aan te skakel. Sommige opslae is op die oog af absurd: 'n basispakket wat verskeie kere vermenigvuldig sodra SSO daarop verskyn. Die lys is lank omdat die strategie werk.

Dit werk as gevolg van wanneer die koper die funksie nodig het. Niemand gaan koop SSO op 'n rustige middag nie. Jy het dit nodig op die oomblik dat 'n groot kliënt se sekuriteitspan dit 'n voorwaarde vir ondertekening maak, of die week wat jou eie SOC 2-ouditeur vra hoe jy toegang afdwing. Jy het dit teen 'n sperdatum nodig, met 'n transaksie of 'n sertifikaat op die spel, en jy het dit nou nodig. Dit is die minste prysgevoelige oomblik wat 'n koper ooit het, en die prysbepaling is daarom heen gebou. Die premie is nooit teen die marginale koste van 'n SAML-implementering gekalibreer nie, wat tot niks afrond nie. Dit is gekalibreer teen hoe min hefboom jy het op die dag wat jy dit uiteindelik nodig kry.

Dit is die ware vorm van wat mense die SSO-belasting noem. Nie 'n prys op 'n funksie nie. 'n Prys op 'n sperdatum.

Waarvan die grag werklik gemaak is

Hoe verdedigbaar is daardie posisie dan? Die grag wat die gevestigde spelers hou, is werklik, maar dit is uit twee afsonderlike materiale gemaak, en hulle is nie ewe vas nie.

Die eerste is kompleksiteit. SAML is oud, maar dit is nie eenvoudig om goed te implementeer nie. Handtekeningvalidering, XML-kanonisering, geënkripteerde beweringe, metadata wat roteer, en die lang stert van eienaardighede wat elke identiteitsverskaffer anders stuur: om dit alles korrek en veilig te kry, was histories weke se spesialiswerk, en 'n ryk bron van sekuriteitsfoute wanneer dit verkeerd gedoen is. SCIM voeg sy eie oppervlak by. Om dit een keer te bou, was 'n werklike belegging. Om dit te bou teen elke IdP wat jou kliënte mag saambring, en dit betroubaar te bedryf, was 'n grag waaragter jy 'n maatskappy kon parkeer.

Die tweede materiaal is vertroue. 'n Onderneming se sekuriteitspan moet jou identiteitslaag aanvaar, en dit beteken SOC 2, penetrasietoetse, 'n rekord, 'n maatskappy wat oor vyf jaar nog bestaan, en iemand om tweeuur die oggend te bel wanneer federasie breek. Geen slim kode kort dit af nie. Dit word stadig verdien, en dit is met 'n groot marge die moeiliker helfte van die grag.

Twintig jaar lank het daardie twee helftes mekaar versterk, en die prysbepaling het hulle as een ondeelbare ding hanteer. Hulle is nie een ding nie.

Die helfte van die grag wat KI leegtap

Hier is wat verander het. Die kompleksiteitshelfte van daardie grag was in wese 'n kennis- en arbeidsprobleem: die protokolle is goed gespesifiseer en breedvoerig gedokumenteer, maar om hulle korrek aanmekaar te sit, het skaars, duur kundigheid en baie ure gekos. Dit is presies die soort probleem waarmee KI-koderingsassistente goed is. 'n Gevestigde, twintig jaar oue standaard met volop openbare verwysingsimplementerings is byna 'n beste geval vir hulle. Werk wat vroeër 'n identiteitspesialis vir 'n maand nodig gehad het, het toenemend 'n bekwame ingenieur en 'n goeie assistent vir 'n week nodig.

Wees versigtig oor wat dit erodeer en wat nie. Dit raak nie die vertrouehelfte nie. KI gee jou nie SOC 2, 'n sekuriteitsreputasie of 'n bystandrooster nie, en as iets, maak die vloed masjiengegenereerde verifikasiekode 'n nagegane, deurwinterde verskaffer méér werd, nie minder nie. Maar dit vat 'n kettingsaag na die kompleksiteitshelfte. Dit maak saak, want die prysbepaling het stilweg op albei helftes tegelyk geleun. Wanneer die implementering van SAML ophou om 'n grag te wees en 'n naweek word, is "slegs vir Enterprise" nie meer 'n stelling oor wat moeilik is om te bou nie. Dit is 'n stelling oor waarvoor die verskaffer gekies het om te vra. Die vermoënsgaping sluit vinniger as wat die pryslys erken.

Een klein span wat die belaste funksies weggee

Ons is een datapunt in daardie argument. Authagonal is 'n klein span, en SSO, SAML en SCIM is nie ons opverkoop nie; hulle sit op die gratis vlak, met onbeperkte verbindings, tot 250 maandelikse aktiewe gebruikers, geen kaart nodig nie. Die betaalde pakkette begin by 29 dollar per maand en dra dieselfde funksiestel op elke vlak. Stel dit teenoor die markprys vir presies dieselfde vermoë: WorkOS meet SSO teen sowat 125 dollar per verbinding per maand en SCIM teen nog 125; Clerk gee jou een verbinding, daarna ongeveer 75 vir elkeen daarna; Auth0 sluit een verbinding gratis in tot 25 000 gebruikers en stuur produksie-SSO daarna na sy duurder besigheidslyn. Ons is nie goedkoper omdat ons 'n truuk gevind het nie. Ons is goedkoper omdat die funksie amper niks kos om te lewer nie, en ons geweier het om dit te prys asof dit skaars is.

Niks hiervan beteken die gevestigde spelers is op die punt om te val nie. Die vertrouehelfte van hul grag is werklik, en hulle het twee dekades daaraan gebou. Maar die storie dat ondernemingsverifikasie duur is omdat dit moeilik is, word al hoe moeiliker om met 'n reguit gesig te vertel, juis terwyl die gereedskap wat dit maklik maak by almal uitkom. Om te sien wat die funksies kos sodra jy ophou om die belasting te betaal: ons pryse plaas elkeen van hulle op dieselfde pakket, en die SSO-belastingsakrekenaar sal jou presiese opstelling prys teenoor die verskaffers wat dit steeds meet.