Kódový token, čipová karta nebo klíč FIDO: co VPN akceptuje

Tři zařízení se stejným konektorem a stejným kroužkem na klíče se účastní tří nesouvisejících výměn. Jedno zobrazuje kód, který kontroluje server, druhé podepisuje klíčem, který nikdy neopustí zařízení, a třetí schvaluje přihlášení z prohlížeče prostřednictvím vlastního protokolu. Otázka, zda má VPN používat certifikáty, nebo hardwarové tokeny, proto srovnává formát s třídou zařízení. Odpověď závisí na tom, které ze tří jste skutečně koupili.

Pojmenujte důkaz dřív než zařízení

Jednorázový kódový token vytváří hodnotu, kterou ověřovací služba kontroluje vlastním mechanismem. VPN se k této službě může dostat přes RADIUS nebo federovaného poskytovatele identity a token nikdy nemusí uchovávat nic, co patří samotnému tunelu. Dokazuje, že člověk drží zařízení, které kód generuje. O počítači, na kterém byl kód napsán, nedokazuje nic.

Token v podobě čipové karty uchovává soukromý klíč a na požádání provádí podpisovou operaci, tak se identita certifikátu prokazuje bez exportu klíče. Certifikát vedle něj je veřejný materiál a vydat tento certifikát je zcela jiný úkon než vydat klíč.

Klíč FIDO mluví znovu třetím protokolem. Přihlášení z prohlížeče jej může použít u poskytovatele identity, ale úspěch na tom webu neznamená, že se stejný klíč objeví přes rozhraní čipové karty klienta VPN.

Některá zařízení implementují několik těchto aplikací vedle sebe a dokumentace výrobce právě proto uvádí režimy odděleně. Není to důkaz, že každý klíč na trhu podporuje každý režim.

Hardware chrání klíč, ne politiku

PIN na zařízení s certifikátem obvykle povoluje místní použití klíče a není to heslo, které kontroluje systém účtů VPN. Doporučení jako pokyny NIST k autentizátorům nazývají tento místní vstup aktivačním tajemstvím, odlišným od samotného autentizátoru. Jistota pochází z celého návrhu, ne z počtu výzev na obrazovce.

Registrace, obnova i odebrání zůstávají v obou případech na vlastníkovi identity. Někdo stále rozhoduje, kdo se smí zaregistrovat, váže pověření ke správné osobě a umožňuje výměnu, když se zařízení ztratí. Koupě nového klíče ten starý neodvolá.

Popište přihlašovací ceremonii dřív, než vyberete hardware: píše uživatel kód, odemyká podpisový klíč, nebo schvaluje výzvu v prohlížeči? Každá odpověď znamená jiného klienta, jiné nastavení brány a jiný scénář podpory.

Kde se toky v praxi rozcházejí

Kódový token se nasazuje nejsnáze a je nejslabší proti přesvědčivé napodobené stránce, protože napsaný kód lze přeposlat v reálném čase. Klíč s certifikátem tomuto typu útoku odolává a stojí víc provozu, protože vydávání a odvolávání se stávají součástí služby. Klíč FIDO stojí u webového přihlášení a zcela závisí na tom, zda ho poskytovatel identity pro tuto aplikaci podporuje.

Smíšená prostředí jsou běžná a nejsou automaticky chybou: certifikát pro tunel plus kódový token pro administrativní konzoli je soudržné rozdělení, pokud jsou oba zaregistrované proti stejné identitě. Rozbíjí se rozdělení, které nikdo nedokumentoval, kdy podpora neumí říct, který faktor uživateli chybí.

Udělejte rozhodnutí konkrétním

Zapište ceremonii jako sled kroků, které provádí skutečný uživatel, a pak zkontrolujte, že klient, brána i poskytovatel identity tento sled podporují. Nesoulad se obvykle objeví v posledním kroku, kdy klient nedokáže zařízení vůbec oslovit.

Potom potvrďte, co se stane, když se zařízení ztratí nebo certifikát vyprší. Pokud ta odpověď není napsaná, má nasazení mezeru, která se objeví v pondělí ráno.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert