Koda ĵetono, poŝkarto aŭ FIDO-ŝlosilo: kion akceptas VPN

Tri aparatoj kun la sama konektilo kaj la sama ŝlosilringo partoprenas en tri nerilataj interŝanĝoj. Unu montras kodon, kiun kontrolas servilo, alia subskribas per ŝlosilo, kiu neniam forlasas la aparaton, kaj tria aprobas retumilan saluton per propra protokolo. Tial la demando, ĉu VPN uzu atestilojn aŭ aparatajn ĵetonojn, komparas formats kun aparata klaso. La respondo dependas de tio, kiun el la tri vi efektive aĉetis.

Nomu la pruvon antaŭ la aparato

Unufoja koda ĵetono produktas valoron, kiun aŭtentikiga servo validigas per sia propra mekanismo. La VPN povas atingi tiun servon per RADIUS aŭ federacia identeca provizanto, kaj la ĵetono neniam bezonas teni ion ajn apartenantan al la tunelo mem. Kion ĝi pruvas estas, ke la persono tenas la aparaton, kiu generas la kodon. Ĝi pruvas nenion pri la maŝino, sur kiu la kodo estis tajpita.

Ĵetono laŭ poŝkarta stilo konservas privatan ŝlosilon kaj plenumas la subskriban operacion laŭpete, tiel atestila identeco pruviĝas sen eksporti la ŝlosilon. La atestilo apud ĝi estas publika materialo, kaj transdoni tiun atestilon estas tute alia ago ol transdoni la ŝlosilon.

FIDO-ŝlosilo parolas denove trian protokolon. Retumila saluto povas uzi ĝin ĉe la identeca provizanto, sed sukceso sur tiu retejo ne signifas, ke la sama ŝlosilo aperos tra la poŝkarta interfaco de VPN-kliento.

Kelkaj aparatoj realigas plurajn el tiuj aplikoj unu apud la alia, kaj la dokumentaro de la vendisto listigas la reĝimojn aparte ĝuste pro tio. Tio ne estas pruvo, ke ĉiu ŝlosilo sur la merkato subtenas ĉiun reĝimon.

Aparataro protektas la ŝlosilon, ne la politikon

PIN sur atestila aparato kutime rajtigas lokan uzon de la ŝlosilo, kaj ĝi ne estas la pasvorto, kiun kontrolas la VPN-konta sistemo. Gvidlinioj kiel la gvidlinioj de NIST pri aŭtentikigiloj nomas tiun lokan enigon aktiviga sekreto, malsama ol la aŭtentikigilo mem. La garantio venas el la tuta dezajno, ne el la nombro de promptoj sur la ekrano.

Enskribo, renovigo kaj forigo restas ĉe la identeca posedanto en ĉiu kazo. Iu ankoraŭ decidas, kiu rajtas enskribiĝi, ligas la akreditilon al la ĝusta persono kaj ebligas anstataŭigon, kiam aparato perdiĝas. Aĉeti novan ŝlosilon ne revokas la malnovan.

Priskribu la salutceremonion antaŭ ol elekti aparataron: ĉu la uzanto tajpas kodon, malŝlosas subskriban ŝlosilon aŭ aprobas retumilan prompton? Ĉiu respondo implicas malsaman klienton, malsaman enirejan agordon kaj malsaman skripton por la subtena servo.

Kie la fluoj diverĝas en praktiko

Koda ĵetono estas la plej facila por lanĉi kaj la plej malforta kontraŭ konvinka imita paĝo, ĉar tajpita kodo povas esti plusendita en reala tempo. Atestila ŝlosilo rezistas tiun klason de atako kaj kostas pli por funkciigi, ĉar eldono kaj revoko fariĝas parto de la servo. FIDO-ŝlosilo staras ĉe la reta saluto kaj plene dependas de tio, ĉu la identeca provizanto subtenas ĝin por ĉi tiu aplikaĵo.

Miksitaj medioj oftas, kaj ili ne estas aŭtomate malĝustaj: atestilo por la tunelo plus koda ĵetono por la administra konzolo estas kohera divido, kondiĉe ke ambaŭ estas enskribitaj kontraŭ la sama identeco. Kio rompiĝas estas divido, kiun neniu dokumentis, kie la subtena servo ne povas diri, kiu faktoro mankas al uzanto.

Faru la decidon konkreta

Skribu la ceremonion kiel sinsekvon de paŝoj, kiujn plenumas reala uzanto, poste kontrolu, ĉu la kliento, la enirejo kaj la identeca provizanto ĉiuj subtenas tiun sinsekvon. Miskongruo kutime aperas ĉe la lasta paŝo, kie la kliento tute ne povas adresi la aparaton.

Poste konfirmu, kio okazas, kiam la aparato perdiĝas aŭ la atestilo eksvalidiĝas. Se tiu respondo ne estas skribita, la lanĉo havas breĉon, kiu estos malkovrita lunde matene.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert