Код-токен, смарт-карта ці ключ FIDO: што прымае VPN

Тры прылады з адным раздымам і адным кольцам для ключоў удзельнічаюць у трох незвязаных абменах. Адна паказвае код, які правярае сервер, другая падпісвае ключом, які ніколі не пакідае прыладу, а трэцяя ўхваляе ўваход праз браўзер па сваім уласным пратаколе. Таму пытанне, ці павінен VPN выкарыстоўваць сертыфікаты ці апаратныя токены, параўноўвае фармат з класам прылады. Адказ залежыць ад таго, якое з трох вы насамрэч набылі.

Назвіце доказ раней за прыладу

Аднаразовы код-токен стварае значэнне, якое служба аўтэнтыфікацыі правярае праз уласны механізм. VPN можа дасягнуць гэтай службы праз RADIUS або федэратыўнага пастаўшчыка ідэнтычнасці, і токену ніколі не трэба трымаць нічога, што належыць самому тунелю. Ён даказвае, што чалавек трымае прыладу, якая стварае код. Ён не даказвае нічога пра машыну, на якой быў набраны код.

Токен у выглядзе смарт-карты захоўвае прыватны ключ і выконвае аперацыю подпісу па запыце, менавіта так ідэнтычнасць сертыфіката даказваецца без экспарту ключа. Сертыфікат побач — публічны матэрыял, і перадаць гэты сертыфікат — зусім іншае дзеянне, чым перадаць ключ.

Ключ FIDO размаўляе яшчэ на трэцім пратаколе. Уваход праз браўзер можа выкарыстоўваць яго ў пастаўшчыка ідэнтычнасці, але поспех на гэтым сайце не значыць, што той жа ключ з'явіцца праз інтэрфейс смарт-карты кліента VPN.

Некаторыя прылады рэалізуюць некалькі такіх праграм побач, і дакументацыя вытворцы менавіта таму пералічвае рэжымы асобна. Гэта не доказ таго, што кожны ключ на рынку падтрымлівае кожны рэжым.

Апаратнае забеспячэнне абараняе ключ, а не палітыку

PIN на прыладзе з сертыфікатам звычайна дазваляе лакальнае выкарыстанне ключа, і гэта не пароль, які правярае сістэма ўліковых запісаў VPN. Рэкамендацыі, такія як кіраўніцтва NIST па аўтэнтыфікатарах, называюць гэты лакальны ўвод сакрэтам актывацыі, адрозным ад самога аўтэнтыфікатара. Гарантыя паходзіць з усяго дызайну, а не з колькасці запытаў на экране.

Рэгістрацыя, працяг і выдаленне ў любым выпадку застаюцца ўладальніку ідэнтычнасці. Хтосьці ўсё яшчэ вырашае, хто можа зарэгістравацца, прывязвае пасведчанне да патрэбнай асобы і робіць замену магчымай, калі прылада страчваецца. Купля новага ключа не адклікае стары.

Апішыце цырымонію ўваходу перад выбарам абсталявання: карыстальнік уводзіць код, разблакіроўвае ключ подпісу ці ўхваляе запыт браўзера? Кожны адказ прадугледжвае іншы кліент, іншую наладу шлюза і іншы сцэнар службы падтрымкі.

Дзе працэсы разыходзяцца на практыцы

Код-токен найлягчэй разгарнуць, і ён найслабейшы супраць пераканаўчай падробленай старонкі, бо набраны код можна перадаць у рэальным часе. Ключ з сертыфікатам супраціўляецца гэтаму класу атак і каштуе даражэй у эксплуатацыі, бо выпуск і адкліканне становяцца часткай службы. Ключ FIDO стаіць побач з вэб-уваходам і цалкам залежыць ад таго, ці падтрымлівае яго пастаўшчык ідэнтычнасці для гэтай праграмы.

Змяшаныя асяроддзі звычайныя, і яны не аўтаматычна памылковыя: сертыфікат для тунеля плюс код-токен для адміністрацыйнай кансолі — гэта цэласнае раздзяленне, пры ўмове, што абодва зарэгістраваныя супраць адной ідэнтычнасці. Ламаецца тое раздзяленне, якое ніхто не задокументаваў, калі служба падтрымкі не можа сказаць, якога фактара не хапае карыстальніку.

Зрабіце рашэнне канкрэтным

Запішыце цырымонію як паслядоўнасць крокаў, якія выконвае рэальны карыстальнік, потым праверце, што кліент, шлюз і пастаўшчык ідэнтычнасці ўсе падтрымліваюць гэтую паслядоўнасць. Няўзгодненасць звычайна выяўляецца на апошнім кроку, калі кліент зусім не можа звярнуцца да прылады.

Затым пацвердзіце, што адбываецца, калі прылада страчваецца або сертыфікат сканчаецца. Калі гэты адказ не запісаны, у разгортванні ёсць прагал, які выявіцца ў панядзелак раніцай.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert