Token kodu, smart kart və ya FIDO açarı: VPN nəyi qəbul edir

Eyni konnektor və eyni açar halqası olan üç cihaz üç əlaqəsiz mübadilədə iştirak edir. Biri serverin yoxladığı kod göstərir, biri cihazdan heç vaxt çıxmayan açarla imza atır, biri isə öz protokolu ilə brauzerdən girişi təsdiqləyir. Buna görə də VPN-in sertifikat, yoxsa aparat tokeni istifadə etməli olduğunu soruşmaq formatı cihaz sinfi ilə müqayisə etməkdir. Cavab üçündən hansını həqiqətən aldığınızdan asılıdır.

Cihazdan əvvəl sübutu adlandırın

Birdəfəlik kod tokeni autentifikasiya xidmətinin öz mexanizmi ilə yoxladığı dəyər yaradır. VPN həmin xidmətə RADIUS və ya federativ kimlik provayderi vasitəsilə çata bilər və token heç vaxt tunelin özünə aid heç nə saxlamalı deyil. Onun sübut etdiyi şey, şəxsin kodu yaradan cihazı saxlamasıdır. Kodun yazıldığı maşın haqqında heç nə sübut etmir.

Smart kart tipli token şəxsi açar saxlayır və imzalama əməliyyatını tələb üzrə yerinə yetirir, sertifikat kimliyi də açı çıxarmadan belə sübut olunur. Yanındakı sertifikat açıq materialdır və o sertifikatı vermək açını verməkdən tamamilə fərqli bir hərəkətdir.

FIDO açarı yenə üçüncü protokolda danışır. Brauzer əsaslı giriş onu kimlik provayderində istifadə edə bilər, lakin həmin saytda uğur eyni açarın VPN müştərisinin smart kart interfeysi vasitəsilə görünəcəyi anlamına gəlmir.

Bəzi cihazlar bu tətbiqlərdən bir neçəsini yan-yana həyata keçirir və satıcı sənədləri məhz buna görə rejimləri ayrıca sadalayır. Bu, bazardakı hər açarın hər rejimi dəstəklədiyinə dəlil deyil.

Aparat açarı qoruyur, siyasəti yox

Sertifikatla dəstəklənən cihazdakı PIN adətən açardan yerli istifadəyə icazə verir və VPN hesab sisteminin yoxladığı parol deyil. Məsələn, NIST autentifikator təlimatları bu yerli girişi autentifikatorun özündən fərqli olaraq aktivləşdirmə sirri adlandırır. Etibarlılıq ekrandakı sorğuların sayından deyil, bütün dizayndan gəlir.

Qeydiyyat, yenilənmə və silinmə hər halda kimlik sahibinin əlində qalır. Yenə də kimsə kimin qeydiyyatdan keçə biləcəyinə qərar verir, etimadnaməni düzgün şəxsə bağlayır və cihaz itirildikdə dəyişdirməni mümkün edir. Yeni açar almaq köhnə açarı ləğv etmir.

Aparat seçməzdən əvvəl giriş mərasimini təsvir edin: istifadəçi kod yazır, imzalama açarını açır, yoxsa brauzer sorğusunu təsdiqləyir? Hər cavab fərqli müştəri, fərqli şlüz ayarı və fərqli yardım masası ssenarisi deməkdir.

Axınlar praktikada harada ayrılır

Kod tokeni yerləşdirməsi ən asan, inandırıcı saxta səhifəyə qarşı isə ən zəifdir, çünki yazılmış kod real vaxtda ötürülə bilər. Sertifikatla dəstəklənən açar bu sinif hücuma davam gətirir və istismarı daha bahalıdır, çünki verilmə və ləğvetmə xidmətin hissəsinə çevrilir. FIDO açarı veb girişlə birlikdədir və tamamilə kimlik provayderinin onu bu tətbiq üçün dəstəkləməsindən asılıdır.

Qarışıq mühitlər geniş yayılmışdır və avtomatik olaraq yanlış deyil: tunel üçün sertifikat, inzibati konsol üçün kod tokeni hər ikisi eyni kimliyə qeydiyyatdan keçirildiyi təqdirdə tutarlı bölgüdür. Pozulan şey heç kimin sənədləşdirmədiyi bölgüdür, o zaman yardım masası istifadəçinin hansı amili çatışmadığını deyə bilmir.

Qərarı konkretləşdirin

Mərasimi real istifadəçinin yerinə yetirdiyi addımlar ardıcıllığı kimi yazın, sonra müştərinin, şlüzün və kimlik provayderinin hamısının bu ardıcıllığı dəstəklədiyini yoxlayın. Uyğunsuzluq adətən son addımda görünür, müştəri cihaza ümumiyyətlə müraciət edə bilməyəndə.

Sonra cihaz itirildikdə və ya sertifikatın müddəti bitdikdə nə baş verdiyini təsdiqləyin. Bu cavab yazılmayıbsa, yerləşdirmədə bazar ertəsi səhəri aşkar ediləcək bir boşluq var.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert