Cod tocyn, cerdyn clyfar neu allwedd FIDO: beth mae VPN yn ei dderbyn

Mae tri dyfais â'r un cysylltydd a'r un cylch allweddi yn cymryd rhan mewn tri chyfnewidiad annibynnol. Mae un yn dangos cod y mae gweinydd yn ei wirio, mae un arall yn arwyddo ag allwedd nad yw byth yn gadael y ddyfais, ac mae'r trydydd yn cymeradwyo mewngofnodi drwy'r porwr trwy brotocol ei hun. Felly mae gofyn a ddylai VPN ddefnyddio tystysgrifau neu docynnau caledwedd yn cymharu fformat â dosbarth o ddyfeisiau. Mae'r ateb yn dibynnu ar ba un o'r tri a brynwyd gennych mewn gwirionedd.

Enwch y prawf o flaen y ddyfais

Mae tocyn cod un-amser yn cynhyrchu gwerth y mae gwasanaeth dilysu yn ei wirio drwy ei fecanwaith ei hun. Gall y VPN gyrraedd y gwasanaeth hwnnw drwy RADIUS neu ddarparwr hunaniaeth ffederal, ac nid oes angen i'r tocyn byth ddal unrhyw beth sy'n perthyn i'r tiwnel ei hun. Yr hyn a brofir yw bod y person yn dal y ddyfais sy'n cynhyrchu'r cod. Nid yw'n profi unrhyw beth am y peiriant y teipiwyd y cod arno.

Mae tocyn ar ffurf cerdyn clyfar yn storio allwedd breifat ac yn perfformio'r gweithrediad arwyddo pan ofynnir, a dyna sut y profir hunaniaeth tystysgrif heb allforio'r allwedd. Mae'r dystysgrif wrth ei ymyl yn ddeunydd cyhoeddus, ac mae rhoi'r dystysgrif honno yn weithred hollol wahanol i roi'r allwedd.

Mae allwedd FIDO yn siarad trydydd protocol eto. Gall mewngofnodi drwy'r porwr ei defnyddio gyda'r darparwr hunaniaeth, ond nid yw llwyddiant ar y wefan honno'n golygu y bydd yr un allwedd yn ymddangos drwy ryngwyneb cerdyn clyfar cleient VPN.

Mae rhai dyfeisiau'n gweithredu sawl un o'r cymwysiadau hyn ochr yn ochr, a'r rheswm y mae dogfennaeth y gwerthwr yn rhestru'r moddau ar wahân yw hynny. Nid yw'n brawf bod pob allwedd ar y farchnad yn cefnogi pob modd.

Mae caledwedd yn gwarchod yr allwedd, nid y polisi

Mae PIN ar ddyfais â thystysgrif fel arfer yn awdurdodi defnydd lleol o'r allwedd, ac nid dyma'r cyfrinair y mae system gyfrifon y VPN yn ei wirio. Mae canllawiau fel canllawiau NIST ar ddilysyddion yn galw'r mewnbwn lleol hwnnw'n gyfrinach actifadu, yn wahanol i'r dilysydd ei hun. Daw'r sicrwydd o'r cynllun cyfan, nid o nifer yr anogiadau ar y sgrin.

Mae cofrestru, adnewyddu a dileu yn aros gyda pherchennog yr hunaniaeth beth bynnag. Mae rhywun yn dal i benderfynu pwy all gofrestru, yn clymu'r cymhwyster i'r person cywir, ac yn gwneud ailosod yn bosibl pan gollir dyfais. Nid yw prynu allwedd newydd yn dirymu'r hen un.

Disgrifiwch y seremoni fewngofnodi cyn dewis caledwedd: a yw'r defnyddiwr yn teipio cod, yn datgloi allwedd arwyddo, neu'n cymeradwyo anogiad porwr? Mae pob ateb yn awgrymu cleient gwahanol, gosodiad porth gwahanol a sgript gwahanol i'r ddesg gymorth.

Lle mae'r llifoedd yn gwahanu yn ymarferol

Tocyn cod yw'r hawsaf i'w gyflwyno a'r gwannaf yn erbyn tudalen efelychu credadwy, oherwydd gellir trosglwyddo cod wedi'i deipio mewn amser real. Mae allwedd â thystysgrif yn gwrthsefyll y dosbarth hwnnw o ymosodiad ac yn costio mwy i'w weithredu, gan fod cyhoeddi a dirymu yn dod yn rhan o'r gwasanaeth. Mae allwedd FIDO yn eistedd gyda mewngofnodi'r we ac yn dibynnu'n llwyr ar a yw'r darparwr hunaniaeth yn ei chefnogi ar gyfer y cymhwysiad hwn.

Mae ystadau cymysg yn gyffredin, ac nid ydynt yn anghywir yn awtomatig: tystysgrif i'r tiwnel ynghyd â thocyn cod i'r consol weinyddol yw rhaniad cydlynol, ar yr amod bod y ddau wedi'u cofrestru yn erbyn yr un hunaniaeth. Yr hyn sy'n torri yw rhaniad na chofnododd neb, lle na all y ddesg gymorth ddweud pa ffactor sydd ar goll gan ddefnyddiwr.

Gwnewch y penderfyniad yn benodol

Ysgrifennwch y seremoni fel dilyniant o gamau y mae defnyddiwr go iawn yn eu cyflawni, yna gwiriwch fod y cleient, y porth a'r darparwr hunaniaeth i gyd yn cefnogi'r dilyniant hwnnw. Mae anghysondeb fel arfer yn ymddangos yn y cam olaf, lle na all y cleient gyfeirio'r ddyfais o gwbl.

Yna cadarnhewch beth sy'n digwydd pan gollir y ddyfais neu pan ddaw'r dystysgrif i ben. Os nad yw'r ateb hwnnw wedi'i ysgrifennu, mae gan y cyflwyniad fwlch a ddarganfyddir ar fore Llun.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert