Код токен, смарт карта или FIDO ключ: какво приема една VPN

Три устройства с един и същ конектор и един и същ ключодържател участват в три несвързани обмена. Едно показва код, който сървър проверява, друго подписва с ключ, който никога не напуска устройството, а трето одобрява вход през браузър чрез свой собствен протокол. Затова въпросът дали една VPN трябва да използва сертификати или хардуерни токени сравнява формат с клас устройства. Отговорът зависи от това кое от трите всъщност сте купили.

Назовете доказателството преди устройството

Еднократният код токен създава стойност, която услуга за удостоверяване проверява чрез собствен механизъм. VPN може да достигне тази услуга чрез RADIUS или федеративен доставчик на идентичност и токенът никога не трябва да пази нищо, принадлежащо на самия тунел. Той доказва, че човекът държи устройството, което генерира кода. Не доказва нищо за машината, на която е въведен кодът.

Токенът във вид на смарт карта пази частен ключ и извършва операцията по подписване при поискване, така се доказва самоличност чрез сертификат без изнасяне на ключа. Сертификатът до него е публичен материал и предаването на този сертификат е съвсем различно действие от предаването на ключа.

FIDO ключът говори на трети протокол. Входът през браузър може да го използва при доставчика на идентичност, но успехът на този сайт не означава, че същият ключ ще се появи през интерфейса за смарт карти на VPN клиент.

Някои устройства реализират няколко от тези приложения едно до друго и документацията на производителя изброява режимите отделно точно поради тази причина. Това не е доказателство, че всеки ключ на пазара поддържа всеки режим.

Хардуерът пази ключа, не политиката

PIN кодът на устройство с сертификат обикновено разрешава локално използване на ключа и не е паролата, която проверява системата за VPN акаунти. Насоки като насоките на NIST за удостоверители наричат този локален вход секрет за активиране, различен от самия удостоверител. Увереността идва от целия дизайн, не от броя подкани на екрана.

Регистрацията, подновяването и премахването остават при собственика на идентичността в двата случая. Някой все още решава кой може да се регистрира, обвързва идентификационните данни с правилния човек и прави замяната възможна, когато устройство се загуби. Купуването на нов ключ не отменя стария.

Опишете церемонията по вход, преди да изберете хардуер: потребителят въвежда код, отключва ключ за подписване или одобрява подкана в браузъра? Всеки отговор предполага различен клиент, различна настройка на шлюза и различен сценарий за службата за поддръжка.

Къде потоците се разделят на практика

Код токенът е най-лесен за внедряване и най-слаб срещу убедителна подправена страница, защото въведеният код може да бъде препредаден в реално време. Ключът със сертификат устоява на този клас атаки и струва повече за експлоатация, тъй като издаването и отмяната стават част от услугата. FIDO ключът стои при уеб входа и зависи изцяло от това дали доставчикът на идентичност го поддържа за това приложение.

Смесените среди са чести и не са автоматично грешни: сертификат за тунела плюс код токен за административната конзола е последователно разделение, при условие че и двете са регистрирани срещу една и съща идентичност. Това, което се чупи, е разделение, което никой не е документирал, когато службата за поддръжка не може да каже кой фактор липсва на потребителя.

Направете решението конкретно

Запишете церемонията като последователност от стъпки, които реален потребител изпълнява, после проверете дали клиентът, шлюзът и доставчикът на идентичност всички поддържат тази последователност. Несъответствието обикновено се появява на последната стъпка, когато клиентът изобщо не може да адресира устройството.

След това потвърдете какво се случва, когато устройството се загуби или сертификатът изтече. Ако този отговор не е записан, внедряването има пропуск, който ще бъде открит в понеделник сутрин.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert