Codi de token, targeta intel·ligent o clau FIDO: què accepta una VPN

Tres dispositius amb el mateix connector i el mateix anell de claus participen en tres intercanvis sense relació. Un mostra un codi que el servidor comprova, un altre signa amb una clau que no surt mai del dispositiu, i un tercer aprova l’inici de sessió del navegador mitjançant un protocol propi. Per tant, preguntar si una VPN ha d’usar certificats o tokens de maquinari compara un format amb una classe de dispositiu. La resposta depèn de quin dels tres heu comprat realment.

Anomeneu la prova abans del dispositiu

Un token de codi d’un sol ús produeix un valor que un servei d’autenticació valida amb el seu propi mecanisme. La VPN pot arribar a aquest servei mitjançant RADIUS o un proveïdor d’identitat federat, i el token no necessita mai guardar res que pertanyi al túnel mateix. El que demostra és que la persona té el dispositiu que genera el codi. No demostra res sobre la màquina on s’ha escrit el codi.

Un token de tipus targeta intel·ligent guarda una clau privada i fa l’operació de signatura quan se li demana, i així es prova la identitat del certificat sense exportar la clau. El certificat que l’acompanya és material públic, i lliurar aquest certificat és un acte molt diferent de lliurar la clau.

Una clau FIDO parla d’un tercer protocol. L’inici de sessió al navegador la pot fer servir al proveïdor d’identitat, però l’èxit en aquell lloc no vol dir que la mateixa clau aparegui per la interfície de targeta intel·ligent d’un client VPN.

Alguns dispositius implementen diverses d’aquestes aplicacions alhora, i la documentació del fabricant enumera els modes per separat precisament per això. No és cap prova que totes les claus del mercat admetin tots els modes.

El maquinari protegeix la clau, no la política

Un PIN en un dispositiu amb certificat normalment autoritza l’ús local de la clau, i no és la contrasenya que comprova el sistema de comptes de la VPN. Directrius com les directrius de NIST sobre autenticadors anomenen aquesta entrada local secret d’activació, diferent del mateix autenticador. La garantia ve de tot el disseny, no del nombre de peticions a la pantalla.

L’alta, la renovació i la retirada continuen sent del propietari de la identitat en qualsevol cas. Algú segueix decidint qui pot donar-se d’alta, lliga la credencial a la persona correcta i fa possible la substitució quan es perd un dispositiu. Comprar una clau nova no revoca l’antiga.

Descriviu la cerimònia d’inici de sessió abans de triar maquinari: l’usuari escriu un codi, desbloqueja una clau de signatura o aprova una petició del navegador? Cada resposta implica un client diferent, un paràmetre de passarel·la diferent i un guió diferent per al servei d’assistència.

On divergeixen els fluxos a la pràctica

Un token de codi és el més fàcil de desplegar i el més feble contra una pàgina d’imitació convincent, perquè un codi escrit es pot reenviar en temps real. Una clau amb certificat resisteix aquesta classe d’atac i costa més d’operar, ja que l’emissió i la revocació passen a formar part del servei. Una clau FIDO se situa amb l’inici de sessió web i depèn del tot de si el proveïdor d’identitat l’admet per a aquesta aplicació.

Els entorns mixtos són habituals i no són automàticament errors: un certificat per al túnel més un token de codi per a la consola administrativa és una separació coherent, sempre que tots dos estiguin inscrits contra la mateixa identitat. El que es trenca és una separació que ningú no ha documentat, on el servei d’assistència no pot dir quin factor li falta a l’usuari.

Feu la decisió concreta

Escriviu la cerimònia com una seqüència de passos que fa un usuari real, i després comproveu que el client, la passarel·la i el proveïdor d’identitat admeten tots aquesta seqüència. El desajustament sol aparèixer a l’últim pas, quan el client no es pot adreçar al dispositiu de cap manera.

Després confirmeu què passa quan es perd el dispositiu o caduca el certificat. Si aquesta resposta no està escrita, el desplegament té una llacuna que es descobrirà un dilluns al matí.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert