2012 में OAuth 2.0 की कलम थामने वाले आदमी ने इस्तीफ़ा दे दिया। उनकी वजह किसी भविष्यवाणी की तरह पढ़ी जाती है।

जुलाई 2012 में OAuth 2.0 विनिर्देश के संपादक ने इस्तीफ़ा दे दिया। एरान हैमर वर्षों से कलम थामे हुए थे: IETF में संपादक वह व्यक्ति होता है जो मानक पाठ लिखता है और वर्किंग ग्रुप की बहस के बीच डिज़ाइन पर फ़ैसला करता है, कोई प्रूफ़रीडर नहीं। इससे पहले वे प्रकाशित OAuth 1.0 मानक के संपादक रह चुके थे। उन्होंने 2.0 से अपना नाम हटाया, चले गए, और "OAuth 2.0 and the Road to Hell" नाम से एक बहुपठित लेख प्रकाशित किया।

उनकी शिकायत अकादमिक नहीं थी। उन्होंने लिखा कि प्रोटोकॉल को खोखला करके "एक ख़ाका" बना दिया गया है, जिसे हर वेंडर अपने अलग और असंगत उत्पाद में ढाल लेगा। उन्होंने इसे "the enterprise way" कहा, यानी "WS-* वाला तरीक़ा"। और उन्होंने साफ़ शब्दों में चेताया कि 2.0 "परामर्श सेवाएँ और इंटीग्रेशन समाधान बेचने के लिए एक बिल्कुल नया मैदान खोल देता है"। तीन महीने बाद RFC 6749 आया, उस पर डिक हार्ट का नाम था।

चौदह साल बाद, जिस कॉरपोरेट लॉगिन की माँग आपका सबसे बड़ा ग्राहक कर रहा है उसे चालू करने का ख़र्च लगभग 125 डॉलर प्रति कनेक्शन प्रति महीना है, या वह "Enterprise" नाम के किसी टियर के पीछे बैठा है, या "सेल्स से संपर्क करें" बटन के पीछे, जो उस डेडलाइन में तीन हफ़्ते और जोड़ देता है जिसके लिए आप पहले ही देर कर चुके थे। हैमर ने इसका आकार 2012 में ही देख लिया था, उसी कमरे के भीतर से जहाँ यह तय हो रहा था।

तो पूरी कहानी को शुरू से देखना ठीक रहेगा: ये मानक किसने लिखे, वे क्या बना रहे होने का यक़ीन रखते थे, और यह सब बिल की एक मद कैसे बन गया। इससे जो खंदक बनी वह असली है। वह दो अलग-अलग चीज़ों से बनी भी है, और उनमें से सिर्फ़ एक अब भी टिकी हुई है।

प्रोटोकॉल क़ीमतों से पहले पूरे हो चुके थे

2015 तक मानकीकरण का काम मूलतः पूरा हो चुका था। SAML 2.0 मार्च 2005 में OASIS मानक बना, यानी वह आईफ़ोन से भी पुराना है। OAuth 2.0 2012 में RFC 6749 के रूप में प्रकाशित हुआ। OpenID Connect ने 2014 में उसके ऊपर पहचान की परत बनाई। SCIM, वह प्रोटोकॉल जो सिस्टमों के बीच उपयोगकर्ता बनाता और हटाता है, सितंबर 2015 में अपने 2.0 संस्करण (RFC 7642 से 7644) तक पहुँचा। "एंटरप्राइज़ ऑथ" बनाने वाले चारों टुकड़े एक दशक से भी पहले निर्दिष्ट, आपस में संगत और मुफ़्त में लागू करने योग्य थे।

तब से उनमें कुछ भी उल्लेखनीय नहीं बदला है। आज हस्ताक्षरित SAML असर्शन 2008 में हस्ताक्षरित असर्शन जैसा ही दिखता है। इससे प्रीमियम का सामान्य बहाना ख़ारिज हो जाता है: नयापन। एंटरप्राइज़ SSO कोई अग्रगामी फ़ीचर नहीं है जिसे बनाते रहने में करोड़ों लगते हों, और प्रदाता को SAML से आए लॉगिन को सँभालने में पासवर्ड से आए लॉगिन के मुक़ाबले एक पैसा ज़्यादा नहीं लगता। यह जमा-जमाया बुनियादी ढाँचा है। तो सवाल यह उठता है कि क़ीमत कहाँ से आई, अगर इंजीनियरिंग से नहीं।

जिन वर्किंग ग्रुपों ने इसे लिखा वे सेल्स टीमें नहीं थीं

शुरुआत इस बात से कीजिए कि विनिर्देश किसने लिखे, क्योंकि इससे बहुत कुछ समझ आता है। SAML किसी प्राइसिंग मीटिंग से नहीं निकला। वह OASIS की एक तकनीकी समिति से आया, और उस समूह की संस्थापक अध्यक्ष थीं ईव मेलर, जो तब सन माइक्रोसिस्टम्स में टेक्नोलॉजी डायरेक्टर थीं और जिन्होंने वर्षों उन मार्कअप और फ़ेडरेशन मानकों पर काम किया था जिनकी वजह से कंपनियों के बीच साइन-ऑन संभव ही हुआ। नतीजा एक सार्वजनिक दस्तावेज़ था जिसे कोई भी, मुफ़्त में, लागू कर सकता था।

उस दौर का मिज़ाज खुलेपन का था, घेराबंदी का नहीं। अगस्त 2005 में ओ'रैली के OSCON में Sxip Identity के डिक हार्ट ने "Identity 2.0" नाम से एक तेज़-तर्रार कीनोट दी, जिसे तब से बार-बार देखा जाता रहा है। बात यह थी कि वेब ऐसा हो जहाँ आपकी पहचान आपकी हो और साथ चले, हर साइट की डायरेक्टरी में बंद रहने के बजाय एक जगह से दूसरी जगह जाए। एक साल बाद OAuth की शुरुआत भी ऐसे ही हुई। ट्विटर का API बना रहे ब्लेन कुक चाहते थे कि एक ऐप आपकी ओर से दूसरे ऐप पर काम कर सके और इसके लिए उपयोगकर्ता को अपना पासवर्ड न सौंपना पड़े; इसके लिए कोई खुला मानक नहीं मिला, तो 2007 की शुरुआत में वे क्रिस मेसीना, डेविड रेकॉर्डन और कुछ और लोगों के साथ बैठकर ख़ुद एक लिखने लगे। पहला OAuth विनिर्देश उसी साल आया। उस समूह में कोई टोल बूथ नहीं बना रहा था। वे बस यह रोकना चाहते थे कि वेब लोगों से उनका पासवर्ड माँगे।

हैमर असल में किस बात की चेतावनी दे रहे थे

फिर मानक बड़ा हुआ, और कमरा बदल गया। OAuth 2.0 का इरादा पहले संस्करण को व्यापक बनाना था, और वर्किंग ग्रुप में बड़े हित भरने लगे। जाते-जाते हैमर ने लिखा कि 1.0 के मुक़ाबले नतीजा "ज़्यादा जटिल, कम संगत, कम उपयोगी, ज़्यादा अधूरा और सबसे अहम, कम सुरक्षित" हो चुका है। उन्होंने जो तुलना चुनी, पिछले दशक का WS-* स्टैक, वही इस उद्योग का सबसे साफ़ उदाहरण है कि एक खुला विनिर्देश कैसे इंटीग्रेशन के काम का बाज़ार बन जाता है।

एक दशक बाद पढ़िए तो यह भविष्यवाणी जैसा लगता है। जिस चीज़ पर आगे चलकर प्रति कनेक्शन शुल्क लगना था, उसे 2012 में ही वही लोग गढ़ रहे थे जो बाद में शुल्क लेने वाले थे। OpenID Connect ने 2014 में OAuth 2.0 के ऊपर पहचान को फिर से साफ़ नींव पर रखा, जिसे नोमुरा रिसर्च इंस्टीट्यूट में नैट साकिमुरा ने जॉन ब्रैडली और माइक जोन्स के साथ लिखा, और यह वाक़ई अच्छा काम है जिस पर पूरा उद्योग आज भी चलता है। पर देखिए इसके लेखक कहाँ बैठे थे: ब्रैडली Ping Identity में, जोन्स माइक्रोसॉफ़्ट में। विनिर्देश खुले और मुफ़्त लागू करने योग्य बने रहे। उन्हें लिखने वाले लोग बढ़ते हुए उन्हीं कंपनियों के लिए काम कर रहे थे जो नतीजा बेचने वाली थीं।

जिन्होंने मानक लिखा, उन्हीं ने आगे चलकर उसे बेचा

व्यावसायिक परत मानकों की दुनिया के बाहर से नहीं आई। वह सीधे उसी में से उगी, अक्सर उन्हीं हाथों से। ईव मेलर, जिन्होंने सन में उस समूह की अध्यक्षता की जिसने SAML बनाया, 2014 में ForgeRock में इनोवेशन की वीपी बनकर गईं और बाद में उसकी मुख्य तकनीकी अधिकारी बनीं। ForgeRock ख़ुद उसी पहचान स्टैक पर बनी थी जिसे सन ने OpenSSO के रूप में ओपन-सोर्स किया था, और 2023 में वह Ping Identity में समा गई। Ping 2002 से है, इतनी जल्दी कि वह उस फ़ेडरेशन प्लेबुक को लिखने में मदद कर सके जिसे उसने फिर दो दशक बेचा। इसमें कुछ भी चोरी-छिपे नहीं था। बात इससे बारीक और अजीब है: खुला विनिर्देश और क़ीमत वाला उत्पाद कभी दो अलग दुनियाएँ थे ही नहीं। दोनों को एक ही विशेषज्ञता ने लिखा।

क्लाउड पीढ़ी को यही ढाँचा विरासत में मिला, और क़ीमत लगाने की आदत भी साथ आ गई। Okta की स्थापना 2009 में टॉड मैकिनन ने की, जो सेल्सफ़ोर्स में इंजीनियरिंग संभालते थे, और फ़्रेडरिक केरेस्ट ने; कंपनी 2017 में सार्वजनिक हुई और 2021 में उसने Auth0 के लिए 6.5 अरब डॉलर शेयरों में चुकाए। Auth0 डेवलपर-अनुकूल वाली थी, 2013 में दो अर्जेंटीनी इंजीनियरों यूजेनियो पेस और मातियास वोलोस्की ने शुरू की, जो कंसल्टिंग करते हुए मिले थे और चाहते थे कि किसी ऐप में लॉगिन जोड़ना बस कुछ API कॉल भर रह जाए। जिस कंपनी का पूरा वादा डेवलपर की सहूलियत था, वह फिर भी साढ़े छह अरब डॉलर की निकली, यही असली संकेत है: लॉगिन बॉक्स जिसकी है, वह सड़क उसी की है जिससे बाक़ी हर फ़ीचर को गुज़रना है। सबसे नई लहर तो अपनी मार्केटिंग में यह खुलकर कहती है। WorkOS, जिसे 2019 में माइकल ग्रिनिच ने शुरू किया, वही बेचती है जिसे वे "enterprise chasm" पार करना कहते हैं: किसी उत्पाद को "enterprise-ready" बनाना, वह भी ठीक उन्हीं टुकड़ों की आपूर्ति करके जिन पर शुल्क लगता है, यानी SSO, डायरेक्टरी सिंक और ऑडिट लॉग। SSO ही एंटरप्राइज़ वाला टुकड़ा है। पैसा SSO में है। इसलिए क़ीमत का लेबल SSO पर लगता है।

क़ीमत आपके कोड नहीं, आपकी डेडलाइन के हिसाब से चलती है

रॉब चाहिन ने यह पैटर्न पकड़ा और 2019 में sso.tax पर एक सार्वजनिक सूची शुरू की, "SSO Wall of Shame", जिसमें दर्ज है कि सॉफ़्टवेयर कंपनियाँ SAML चालू करने के कितने पैसे लेती हैं। कुछ बढ़ोतरी देखते ही बेतुकी लगती हैं: एक बेस प्लान, जो SSO जुड़ते ही कई गुना हो जाता है। सूची लंबी है क्योंकि यह रणनीति काम करती है।

यह इसलिए काम करती है क्योंकि ख़रीदार को यह फ़ीचर कब चाहिए होता है। कोई किसी शांत दोपहर में SSO ख़रीदने नहीं निकलता। आपको यह उसी वक़्त चाहिए जब किसी बड़े ग्राहक की सुरक्षा टीम इसे साइन करने की शर्त बना देती है, या उसी हफ़्ते जब आपका अपना SOC 2 ऑडिटर पूछता है कि आप ऐक्सेस कैसे नियंत्रित करते हैं। आपको यह डेडलाइन के दबाव में चाहिए, जब कोई सौदा या कोई प्रमाणपत्र दाँव पर हो, और अभी चाहिए। ख़रीदार के लिए यही वह क्षण है जब वह क़ीमत के प्रति सबसे कम संवेदनशील होता है, और पूरी क़ीमत-रचना इसी क्षण के इर्द-गिर्द बनी है। प्रीमियम कभी SAML लागू करने की सीमांत लागत के हिसाब से तय नहीं हुआ, जो लगभग शून्य है। वह इस हिसाब से तय हुआ कि जिस दिन आपको आख़िरकार इसकी ज़रूरत पड़ती है, उस दिन आपके पास मोलभाव की ताक़त कितनी कम होती है।

लोग जिसे SSO टैक्स कहते हैं, उसका असली आकार यही है। किसी फ़ीचर पर लगी क़ीमत नहीं। किसी डेडलाइन पर लगी क़ीमत।

यह खंदक असल में किस चीज़ से बनी है

तो यह स्थिति कितनी बचाव-योग्य है? जमे हुए खिलाड़ियों की खंदक असली है, पर वह दो अलग चीज़ों से बनी है, और दोनों बराबर मज़बूत नहीं हैं।

पहली है जटिलता। SAML पुराना है, पर उसे ढंग से लागू करना आसान नहीं है। हस्ताक्षर सत्यापन, XML कैनोनिकलाइज़ेशन, एन्क्रिप्टेड असर्शन, घूमता हुआ मेटाडेटा, और हर पहचान प्रदाता की अपनी-अपनी विचित्रताओं की लंबी पूँछ: इन सबको सही और सुरक्षित तरीक़े से करना ऐतिहासिक रूप से विशेषज्ञ के कई हफ़्तों का काम रहा है, और ग़लत होने पर सुरक्षा बग्स का समृद्ध स्रोत। SCIM अपनी अलग सतह जोड़ता है। इसे एक बार बनाना सचमुच निवेश था। इसे हर उस IdP के लिए बनाना जो आपके ग्राहक ला सकते हैं, और भरोसे के साथ चलाना, वह खंदक थी जिसके पीछे एक पूरी कंपनी खड़ी की जा सकती थी।

दूसरी चीज़ है भरोसा। किसी उद्यम की सुरक्षा टीम को आपकी पहचान परत स्वीकार करनी होती है, और इसका मतलब है SOC 2, पेनिट्रेशन टेस्ट, एक ट्रैक रिकॉर्ड, ऐसी कंपनी जो पाँच साल बाद भी रहेगी, और कोई ऐसा जिसे फ़ेडरेशन टूटने पर रात दो बजे फ़ोन किया जा सके। कितना भी चतुर कोड इसका शॉर्टकट नहीं है। यह धीरे-धीरे कमाया जाता है, और यही खंदक का कहीं ज़्यादा कठिन आधा हिस्सा है।

बीस साल तक ये दोनों आधे एक-दूसरे को मज़बूत करते रहे, और क़ीमत ने दोनों को एक ही अविभाज्य चीज़ माना। वे एक चीज़ नहीं हैं।

खंदक का वह आधा हिस्सा जिसे AI सुखा रही है

बदला यह है। उस खंदक का जटिलता वाला आधा हिस्सा दरअसल ज्ञान और श्रम की समस्या था: प्रोटोकॉल अच्छी तरह निर्दिष्ट और ख़ूब दस्तावेज़ीकृत हैं, पर उन्हें सही तरीक़े से जोड़ने में दुर्लभ, महँगी विशेषज्ञता और बहुत सारे घंटे लगते थे। AI कोडिंग असिस्टेंट ठीक इसी तरह की समस्या में अच्छे हैं। बीस साल पुराना, जमा हुआ मानक जिसके सार्वजनिक संदर्भ कार्यान्वयन भरपूर हों, उनके लिए क़रीब-क़रीब आदर्श स्थिति है। जिस काम में पहले एक पहचान विशेषज्ञ का पूरा महीना लगता था, उसमें अब बढ़ते तौर पर एक सक्षम इंजीनियर और एक अच्छे असिस्टेंट का एक हफ़्ता लगता है।

पर ध्यान रखिए कि यह क्या घिसती है और क्या नहीं। भरोसे वाले आधे को यह छूती तक नहीं। AI आपको SOC 2 नहीं थमा देती, न सुरक्षा की साख, न ऑन-कॉल रोस्टर; और अगर कुछ हो रहा है तो मशीन से बने ऑथ कोड की बाढ़ किसी जाँचे-परखे, मैदान में आज़माए प्रदाता को और ज़्यादा क़ीमती बना रही है, कम नहीं। लेकिन जटिलता वाले आधे पर वह आरा चला रही है। यह मायने रखता है, क्योंकि क़ीमत चुपचाप दोनों आधों पर एक साथ टिकी हुई थी। जब SAML लागू करना खंदक न रहकर एक वीकेंड का काम बन जाता है, तो "सिर्फ़ एंटरप्राइज़ में" यह बयान नहीं रह जाता कि क्या बनाना मुश्किल है। वह बयान बन जाता है कि वेंडर ने किस चीज़ के पैसे लेना चुना है। क्षमता का अंतर उससे तेज़ी से घट रहा है जितना प्राइस लिस्ट मानने को तैयार है।

एक छोटी टीम, जो टैक्स लगे फ़ीचर मुफ़्त दे रही है

इस बहस में हम ख़ुद एक डेटा पॉइंट हैं। Authagonal एक छोटी टीम है, और SSO, SAML तथा SCIM हमारा अपसेल नहीं हैं; वे मुफ़्त प्लान पर हैं, कनेक्शन असीमित, हर महीने 250 सक्रिय उपयोगकर्ता तक, कार्ड की ज़रूरत नहीं। पेड प्लान 29 डॉलर प्रति माह से शुरू होते हैं और हर टियर पर वही फ़ीचर सेट देते हैं। इसे उसी क्षमता के बाज़ार भाव के सामने रखिए: WorkOS SSO पर क़रीब 125 डॉलर प्रति कनेक्शन प्रति माह लेती है और SCIM पर 125 और; Clerk एक कनेक्शन देती है, उसके बाद हर कनेक्शन क़रीब 75 डॉलर; Auth0 25,000 उपयोगकर्ताओं तक एक कनेक्शन मुफ़्त देती है और फिर प्रोडक्शन SSO को अपनी महँगी बिज़नेस लाइन पर भेज देती है। हम सस्ते इसलिए नहीं हैं कि हमें कोई तरकीब मिल गई। हम सस्ते इसलिए हैं कि यह फ़ीचर देने में लगभग कुछ ख़र्च नहीं होता, और हमने इसकी क़ीमत ऐसे लगाने से इनकार कर दिया मानो यह दुर्लभ हो।

इसका मतलब यह नहीं कि जमी हुई कंपनियाँ गिरने वाली हैं। उनकी खंदक का भरोसे वाला आधा हिस्सा असली है, और उन्होंने उसे बनाने में दो दशक लगाए हैं। पर यह कहानी कि एंटरप्राइज़ ऑथ महँगा है क्योंकि वह कठिन है, अब गंभीर चेहरे के साथ सुनाना मुश्किल होता जा रहा है, ठीक उसी वक़्त जब उसे आसान बनाने वाले औज़ार सबके पास पहुँच रहे हैं। यह देखने के लिए कि टैक्स देना बंद करने पर इन फ़ीचरों की क़ीमत क्या रह जाती है, हमारी प्राइसिंग इनमें से हर एक को एक ही प्लान पर रखती है, और SSO टैक्स कैलकुलेटर आपकी असली सेटअप की क़ीमत उन वेंडरों के मुक़ाबले निकाल देगा जो अब भी इस पर शुल्क ले रहे हैं।