رمز التحقق والبطاقة الذكية ومفتاح FIDO: ما الذي يقبله VPN

ثلاثة أجهزة تشترك في الموصل نفسه وحلقة تعليق المفاتيح نفسها، لكنها تشارك في ثلاث عمليات تبادل غير مترابطة. أحدها يعرض رمزًا يتحقق منه الخادم، وآخر يوقّع بمفتاح لا يغادر الجهاز أبدًا، وثالث يوافق على تسجيل الدخول من المتصفح عبر بروتوكول خاص به. لذا فإن السؤال عمّا إذا كان على الـ VPN استخدام الشهادات أم الرموز المادية إنما يقارن صيغةً بفئة أجهزة. وتعتمد الإجابة على أي من الثلاثة اشتريته فعلاً.

سمِّ الدليل قبل الجهاز

ينتج رمز الاستخدام الواحد قيمةً تتحقق منها خدمة مصادقة عبر آليتها الخاصة. قد يصل الـ VPN إلى تلك الخدمة عبر RADIUS أو موفّر هوية اتحادي، ولا يحتاج الرمز المميز أبدًا إلى الاحتفاظ بأي شيء يخص النفق نفسه. وما يثبته هو أن الشخص يحمل الجهاز الذي يولّد الرمز. ولا يثبت شيئًا عن الجهاز الذي كُتب عليه الرمز.

يخزّن الرمز المميز على شكل بطاقة ذكية مفتاحًا خاصًا وينفّذ عملية التوقيع عند الطلب، وهكذا تُثبت هوية الشهادة دون تصدير المفتاح. أما الشهادة المجاورة له فهي مادة عامة، وتسليم تلك الشهادة فعل مختلف تمامًا عن تسليم المفتاح.

يتحدث مفتاح FIDO بروتوكولًا ثالثًا مرة أخرى. ويمكن لتسجيل الدخول من المتصفح استخدامه لدى موفّر الهوية، لكن النجاح على ذلك الموقع لا يعني أن المفتاح نفسه سيظهر عبر واجهة البطاقة الذكية في عميل الـ VPN.

تُنفّذ بعض الأجهزة عدة تطبيقات من هذه جنبًا إلى جنب، ولهذا السبب تسرد وثائق المورّد الأوضاع كلًا على حدة. وليس ذلك دليلًا على أن كل مفتاح في السوق يدعم كل وضع.

العتاد يحمي المفتاح وليس السياسة

عادةً ما يسمح رقم PIN الموجود على جهاز مدعوم بشهادة بالاستخدام المحلي للمفتاح، وهو ليس كلمة المرور التي يتحقق منها نظام حساب الـ VPN. وتسمّي إرشادات مثل إرشادات NIST الخاصة بأدوات المصادقة ذلك الإدخال المحلي سرًّا تنشيطيًا، متميزًا عن أداة المصادقة نفسها. والضمان يأتي من التصميم كله، لا من عدد المطالبات على الشاشة.

يظل التسجيل والتجديد والإلغاء بيد مالك الهوية في كل الأحوال. فما زال أحدهم يقرّر من يجوز له التسجيل، ويربط الاعتماد بالشخص الصحيح، ويجعل الاستبدال ممكنًا عند فقدان الجهاز. وشراء مفتاح جديد لا يُبطل المفتاح القديم.

صِف مراسم تسجيل الدخول قبل اختيار العتاد: هل يكتب المستخدم رمزًا، أم يفتح مفتاح توقيع، أم يوافق على مطالبة في المتصفح؟ وكل إجابة تعني عميلًا مختلفًا وإعداد بوابة مختلفًا ونصًّا مختلفًا لمكتب المساعدة.

أين تفترق المسارات في الممارسة

رمز التحقق هو الأسهل في النشر والأضعف أمام صفحة انتحال مقنعة، لأن الرمز المكتوب يمكن تمريره في الوقت الحقيقي. أما المفتاح المدعوم بشهادة فيقاوم هذه الفئة من الهجمات ويكلّف أكثر في التشغيل، لأن الإصدار والإلغاء يصبحان جزءًا من الخدمة. ويقف مفتاح FIDO عند تسجيل الدخول عبر الويب ويعتمد كليًا على ما إذا كان موفّر الهوية يدعمه لهذا التطبيق.

المزيج شائع، وليس خاطئًا تلقائيًا: شهادة للنفق مع رمز تحقق لوحدة التحكم الإدارية تقسيم متسق، بشرط أن يكون كلاهما مسجلين ضد الهوية نفسها. وما ينكسر هو تقسيم لم يوثّقه أحد، حيث لا يستطيع مكتب المساعدة تحديد العامل الذي ينقص المستخدم.

اجعل القرار ملموسًا

اكتب المراسم كتسلسل خطوات ينفّذها مستخدم حقيقي، ثم تحقّق من أن العميل والبوابة وموفّر الهوية يدعمون ذلك التسلسل جميعًا. ويظهر عدم التطابق عادة في الخطوة الأخيرة، حيث لا يستطيع العميل مخاطبة الجهاز إطلاقًا.

ثم أكّد ما يحدث عند فقدان الجهاز أو انتهاء صلاحية الشهادة. وإن لم تكن تلك الإجابة مكتوبة، فإن النشر فيه ثغرة ستُكتشف في صباح يوم الاثنين.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert