Κωδικός token, έξυπνη κάρτα ή κλειδί FIDO: τι δέχεται ένα VPN

Τρεις συσκευές με τον ίδιο συνδετήρα και τον ίδιο κρίκο κλειδιών συμμετέχουν σε τρεις άσχετες ανταλλαγές. Η μία εμφανίζει έναν κωδικό που ελέγχει ένας διακομιστής, μία υπογράφει με κλειδί που δεν φεύγει ποτέ από τη συσκευή, και μία εγκρίνει σύνδεση από το πρόγραμμα περιήγησης μέσω δικού της πρωτοκόλλου. Επομένως το ερώτημα αν ένα VPN πρέπει να χρησιμοποιεί πιστοποιητικά ή token υλικού συγκρίνει μια μορφή με μια κατηγορία συσκευών. Η απάντηση εξαρτάται από το ποιο από τα τρία αγοράσατε πραγματικά.

Ονομάστε την απόδειξη πριν από τη συσκευή

Ένα token κωδικού μίας χρήσης παράγει μια τιμή που μια υπηρεσία ταυτοποίησης επικυρώνει με δικό της μηχανισμό. Το VPN μπορεί να φτάσει σε αυτή την υπηρεσία μέσω RADIUS ή ενός ομοσπονδιακού παρόχου ταυτότητας, και το token δεν χρειάζεται ποτέ να κρατά τίποτα που ανήκει στο ίδιο το τούνελ. Αυτό που αποδεικνύει είναι ότι το άτομο κρατά τη συσκευή που παράγει τον κωδικό. Δεν αποδεικνύει τίποτα για τον υπολογιστή στον οποίο πληκτρολογήθηκε ο κωδικός.

Ένα token τύπου έξυπνης κάρτας αποθηκεύει ιδιωτικό κλειδί και εκτελεί την πράξη υπογραφής κατόπιν αιτήματος, έτσι αποδεικνύεται ταυτότητα πιστοποιητικού χωρίς εξαγωγή του κλειδιού. Το πιστοποιητικό δίπλα του είναι δημόσιο υλικό, και το να παραδώσεις αυτό το πιστοποιητικό είναι εντελώς διαφορετική πράξη από το να παραδώσεις το κλειδί.

Ένα κλειδί FIDO μιλά ξανά ένα τρίτο πρωτόκολλο. Η σύνδεση μέσω προγράμματος περιήγησης μπορεί να το χρησιμοποιήσει στον πάροχο ταυτότητας, αλλά η επιτυχία σε εκείνον τον ιστότοπο δεν σημαίνει ότι το ίδιο κλειδί θα εμφανιστεί μέσω της διεπαφής έξυπνης κάρτας ενός πελάτη VPN.

Ορισμένες συσκευές υλοποιούν αρκετές από αυτές τις εφαρμογές παράλληλα, και η τεκμηρίωση του κατασκευαστή απαριθμεί τις λειτουργίες χωριστά ακριβώς γι' αυτόν τον λόγο. Δεν είναι απόδειξη ότι κάθε κλειδί στην αγορά υποστηρίζει κάθε λειτουργία.

Το υλικό προστατεύει το κλειδί, όχι την πολιτική

Ένα PIN σε συσκευή με πιστοποιητικό συνήθως εξουσιοδοτεί τοπική χρήση του κλειδιού, και δεν είναι ο κωδικός πρόσβασης που ελέγχει το σύστημα λογαριασμών του VPN. Οδηγίες όπως οι οδηγίες του NIST για ταυτοποιητές ονομάζουν αυτή την τοπική εισαγωγή μυστικό ενεργοποίησης, διακριτό από τον ίδιο τον ταυτοποιητή. Η διασφάλιση προέρχεται από όλο τον σχεδιασμό, όχι από τον αριθμό των προτροπών στην οθόνη.

Η εγγραφή, η ανανέωση και η αφαίρεση παραμένουν στον κάτοχο της ταυτότητας σε κάθε περίπτωση. Κάποιος ακόμη αποφασίζει ποιος μπορεί να εγγραφεί, δεσμεύει το διαπιστευτήριο στο σωστό πρόσωπο και καθιστά δυνατή την αντικατάσταση όταν χαθεί μια συσκευή. Η αγορά νέου κλειδιού δεν ανακαλεί το παλιό.

Περιγράψτε την τελετουργία σύνδεσης πριν επιλέξετε υλικό: πληκτρολογεί ο χρήστης κωδικό, ξεκλειδώνει κλειδί υπογραφής ή εγκρίνει προτροπή του προγράμματος περιήγησης; Κάθε απάντηση συνεπάγεται διαφορετικό πελάτη, διαφορετική ρύθμιση πύλης και διαφορετικό σενάριο για την υπηρεσία υποστήριξης.

Πού αποκλίνουν στην πράξη οι ροές

Ένα token κωδικού είναι το ευκολότερο στην ανάπτυξη και το πιο αδύναμο απέναντι σε μια πειστική σελίδα απομίμησης, επειδή ένας πληκτρολογημένος κωδικός μπορεί να προωθηθεί σε πραγματικό χρόνο. Ένα κλειδί με πιστοποιητικό αντιστέκεται σε αυτή την κατηγορία επίθεσης και κοστίζει περισσότερο στη λειτουργία, αφού η έκδοση και η ανάκληση γίνονται μέρος της υπηρεσίας. Ένα κλειδί FIDO βρίσκεται με τη σύνδεση στον ιστό και εξαρτάται πλήρως από το αν ο πάροχος ταυτότητας το υποστηρίζει για αυτή την εφαρμογή.

Τα μικτά περιβάλλοντα είναι συνηθισμένα και δεν είναι αυτόματα λάθος: πιστοποιητικό για το τούνελ συν token κωδικού για την κονσόλα διαχείρισης είναι ένας συνεκτικός διαχωρισμός, με την προϋπόθεση ότι και τα δύο είναι εγγεγραμμένα στην ίδια ταυτότητα. Αυτό που σπάει είναι ένας διαχωρισμός που κανείς δεν τεκμηρίωσε, όπου η υπηρεσία υποστήριξης δεν μπορεί να πει ποιος παράγοντας λείπει από έναν χρήστη.

Κάντε την απόφαση συγκεκριμένη

Γράψτε την τελετουργία ως ακολουθία βημάτων που εκτελεί ένας πραγματικός χρήστης και μετά ελέγξτε ότι ο πελάτης, η πύλη και ο πάροχος ταυτότητας υποστηρίζουν όλοι αυτή την ακολουθία. Μια αναντιστοιχία εμφανίζεται συνήθως στο τελευταίο βήμα, όπου ο πελάτης δεν μπορεί να απευθυνθεί καθόλου στη συσκευή.

Στη συνέχεια επιβεβαιώστε τι συμβαίνει όταν χαθεί η συσκευή ή λήξει το πιστοποιητικό. Αν αυτή η απάντηση δεν είναι γραμμένη, η ανάπτυξη έχει ένα κενό που θα ανακαλυφθεί ένα πρωί Δευτέρας.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert