Tokencode, slimkaart of FIDO-sleutel: wat 'n VPN aanvaar

Drie toestelle met dieselfde aansluiting en dieselfde sleutelringlus neem aan drie onverwante uitruilings deel. Een wys 'n kode wat 'n bediener nagaan, een onderteken met 'n sleutel wat nooit die toestel verlaat nie, en een keur 'n blaaier-aanmelding deur middel van sy eie protokol goed. Om te vra of 'n VPN sertifikate of hardeware-tokens moet gebruik, vergelyk dus 'n formaat met 'n toestelklas. Die antwoord hang daarvan af watter van die drie jy werklik gekoop het.

Noem die bewys voor die toestel

'n Eenmalige kode-token produseer 'n waarde wat 'n verifikasiediens deur sy eie meganisme valideer. Die VPN kan daardie diens via RADIUS of 'n gefedereerde identiteitsverskaffer bereik, en die token hoef nooit iets te hou wat aan die tonnel self behoort nie. Wat dit bewys, is dat die persoon die toestel hou wat die kode genereer. Dit bewys niks oor die masjien waarop die kode ingetik is nie.

'n Slimkaart-token stoor 'n private sleutel en voer die ondertekeningsbewerking op aanvraag uit, en dit is hoe 'n sertifikaat-identiteit bewys word sonder om die sleutel uit te voer. Die sertifikaat daarnaas is openbare materiaal, en om daardie sertifikaat uit te gee is 'n heel ander daad as om die sleutel uit te gee.

'n FIDO-sleutel praat weer 'n derde protokol. 'n Blaaiergebaseerde aanmelding kan dit by die identiteitsverskaffer gebruik, maar sukses op daardie webwerf beteken nie dat dieselfde sleutel deur die slimkaart-koppelvlak van 'n VPN-kliënt sal verskyn nie.

Sommige toestelle implementeer verskeie van hierdie toepassings langs mekaar, en vervaardigersdokumentasie lys die modusse afsonderlik om dié rede. Dit is nie 'n bewys dat elke sleutel op die mark elke modus ondersteun nie.

Hardeware beskerm die sleutel, nie die beleid nie

'n PIN op 'n sertifikaatgesteunde toestel magtig gewoonlik plaaslike gebruik van die sleutel, en dit is nie die wagwoord wat die VPN-rekeningstelsel nagaan nie. Riglyne soos die NIST-riglyne vir authentiseerders noem daardie plaaslike invoer 'n aktiveringsgeheim, anders as die authentiseerder self. Versekering kom uit die hele ontwerp, nie uit die aantal aansporings op die skerm nie.

Inskrywing, hernuwing en verwydering bly in elk geval by die identiteitseienaar. Iemand besluit steeds wie mag inskryf, bind die geloofsbrief aan die regte persoon en maak vervanging moontlik wanneer 'n toestel verlore gaan. Om 'n nuwe sleutel te koop, herroep nie die ou een nie.

Beskryf die aanmeldingseremonie voordat jy hardeware kies: tik die gebruiker 'n kode, ontsluit hy 'n ondertekeningsleutel, of keur hy 'n blaaier-aansporing goed? Elke antwoord impliseer 'n ander kliënt, 'n ander gateway-instelling en 'n ander diensdeskprosedure.

Waar die vloei in die praktyk uiteengaan

'n Kode-token is die maklikste om uit te rol en die swakste teen 'n oortuigende nabootsingblad, want 'n ingetikte kode kan in reële tyd deurgegee word. 'n Sertifikaatgesteunde sleutel weerstaan daardie klas aanval en kos meer om te bedryf, aangesien uitreiking en herroeping deel van die diens word. 'n FIDO-sleutel sit by die web-aanmelding en hang heeltemal daarvan af of die identiteitsverskaffer dit vir hierdie toepassing ondersteun.

Gemengde omgewings is algemeen, en hulle is nie outomaties verkeerd nie: 'n sertifikaat vir die tonnel plus 'n kode-token vir die administratiewe konsole is 'n samehangende verdeling, mits albei teen dieselfde identiteit ingeskryf is. Wat breek, is 'n verdeling wat niemand gedokumenteer het nie, waar die diensdesk nie kan sê watter faktor 'n gebruiker mis nie.

Maak die besluit konkreet

Skryf die seremonie neer as 'n reeks stappe wat 'n werklike gebruiker uitvoer, en gaan dan na of die kliënt, die gateway en die identiteitsverskaffer almal daardie reeks ondersteun. 'n Wanverhouding verskyn gewoonlik by die laaste stap, waar die kliënt die toestel glad nie kan aanspreek nie.

Bevestig dan wat gebeur wanneer die toestel verlore gaan of die sertifikaat verval. As daardie antwoord nie neergeskryf is nie, het die uitrol 'n leemte wat op 'n Maandagoggend ontdek sal word.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert