Tokencode, Smartcard oder FIDO-Schlüssel: Was eine VPN akzeptiert

Drei Geräte mit demselben Anschluss und demselben Schlüsselring nehmen an drei voneinander unabhängigen Vorgängen teil. Eines zeigt einen Code, den ein Server prüft, eines signiert mit einem Schlüssel, der das Gerät nie verlässt, und eines bestätigt eine Browser-Anmeldung über ein eigenes Protokoll. Die Frage, ob eine VPN Zertifikate oder Hardware-Token verwenden soll, vergleicht daher ein Format mit einer Geräteklasse. Die Antwort hängt davon ab, welches der drei Sie tatsächlich gekauft haben.

Benennen Sie den Nachweis vor dem Gerät

Ein Einmalcode-Token erzeugt einen Wert, den ein Authentifizierungsdienst über seinen eigenen Mechanismus prüft. Die VPN kann diesen Dienst über RADIUS oder einen föderierten Identitätsanbieter erreichen, und das Token muss nie etwas enthalten, das zum Tunnel selbst gehört. Es belegt, dass die Person das Gerät hält, das den Code erzeugt. Über den Rechner, auf dem der Code eingetippt wurde, belegt es nichts.

Ein Token im Smartcard-Stil speichert einen privaten Schlüssel und führt die Signaturoperation auf Anforderung aus, so wird eine Zertifikatsidentität ohne Export des Schlüssels nachgewiesen. Das Zertifikat daneben ist öffentliches Material, und dieses Zertifikat auszugeben ist ein ganz anderer Vorgang als den Schlüssel auszugeben.

Ein FIDO-Schlüssel spricht wiederum ein drittes Protokoll. Eine Anmeldung im Browser kann ihn beim Identitätsanbieter verwenden, aber ein Erfolg auf dieser Website bedeutet nicht, dass derselbe Schlüssel über die Smartcard-Schnittstelle eines VPN-Clients erscheint.

Manche Geräte implementieren mehrere dieser Anwendungen nebeneinander, und die Herstellerdokumentation listet die Modi genau deshalb getrennt auf. Das ist kein Beleg dafür, dass jeder Schlüssel auf dem Markt jeden Modus unterstützt.

Hardware schützt den Schlüssel, nicht die Richtlinie

Eine PIN auf einem zertifikatsgestützten Gerät autorisiert meist die lokale Nutzung des Schlüssels, und sie ist nicht das Passwort, das das VPN-Kontosystem prüft. Leitlinien wie die NIST-Leitlinien zu Authenticatoren nennen diese lokale Eingabe ein Aktivierungsgeheimnis, getrennt vom Authenticator selbst. Die Sicherheit kommt aus dem gesamten Entwurf, nicht aus der Zahl der Abfragen auf dem Bildschirm.

Registrierung, Erneuerung und Entfernung bleiben in jedem Fall beim Identitätseigner. Jemand entscheidet weiterhin, wer sich registrieren darf, bindet die Berechtigung an die richtige Person und ermöglicht den Ersatz, wenn ein Gerät verloren geht. Ein neuer Schlüssel widerruft den alten nicht.

Beschreiben Sie die Anmeldezeremonie, bevor Sie Hardware wählen: Tippt der Nutzer einen Code ein, schaltet er einen Signaturschlüssel frei oder bestätigt er eine Browser-Abfrage? Jede Antwort bedeutet einen anderen Client, eine andere Gateway-Einstellung und ein anderes Skript für den Helpdesk.

Wo die Abläufe in der Praxis auseinandergehen

Ein Code-Token ist am einfachsten auszurollen und am schwächsten gegen eine überzeugende Nachahmerseite, weil ein eingetippter Code in Echtzeit weitergeleitet werden kann. Ein zertifikatsgestützter Schlüssel widersteht dieser Angriffsklasse und kostet mehr im Betrieb, da Ausgabe und Widerruf Teil des Dienstes werden. Ein FIDO-Schlüssel gehört zur Web-Anmeldung und hängt ganz davon ab, ob der Identitätsanbieter ihn für diese Anwendung unterstützt.

Gemischte Umgebungen sind üblich und nicht automatisch falsch: ein Zertifikat für den Tunnel plus ein Code-Token für die Administrationskonsole ist eine stimmige Aufteilung, sofern beide gegen dieselbe Identität registriert sind. Was bricht, ist eine Aufteilung, die niemand dokumentiert hat, bei der der Helpdesk nicht sagen kann, welcher Faktor einem Nutzer fehlt.

Machen Sie die Entscheidung konkret

Schreiben Sie die Zeremonie als Folge von Schritten auf, die ein echter Nutzer ausführt, und prüfen Sie dann, ob Client, Gateway und Identitätsanbieter diese Folge alle unterstützen. Eine Abweichung zeigt sich meist im letzten Schritt, wo der Client das Gerät überhaupt nicht ansprechen kann.

Bestätigen Sie danach, was passiert, wenn das Gerät verloren geht oder das Zertifikat abläuft. Wenn diese Antwort nicht aufgeschrieben ist, hat der Rollout eine Lücke, die an einem Montagmorgen entdeckt wird.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert