Kooditoken, nutikaart või FIDO-võti: mida VPN vastu võtab

Kolm seadet sama pistiku ja sama võtmerõngaga osalevad kolmes omavahel mitteseotud vahetuses. Üks näitab koodi, mida server kontrollib, teine allkirjastab võtmega, mis ei lahku kunagi seadmest, ja kolmas kinnitab brauseri sisselogimise oma protokolli kaudu. Seega küsimus, kas VPN peaks kasutama sertifikaate või riistvaratokeneid, võrdleb vormingut seadmeklassiga. Vastus sõltub sellest, millise kolmest te tegelikult ostsite.

Nimetage tõend enne seadet

Ühekordse koodi token loob väärtuse, mida autentimisteenus kontrollib oma mehhanismi kaudu. VPN võib selle teenuseni jõuda RADIUS-e või föderaalse identiteedipakkuja kaudu, ja token ei pea kunagi hoidma midagi, mis kuulub tunnelile endale. See tõestab, et inimene hoiab seadet, mis koodi genereerib. See ei tõesta midagi masina kohta, kuhu kood trükiti.

Nutikaardi tüüpi token hoiab privaatvõtit ja teostab allkirjastamistoimingu nõudel, nii tõestatakse sertifikaadi identiteet ilma võtit eksportimata. Kõrval olev sertifikaat on avalik materjal, ja selle sertifikaadi väljaandmine on hoopis teine tegu kui võtme väljaandmine.

FIDO-võti räägib jälle kolmandat protokolli. Brauseripõhine sisselogimine saab seda identiteedipakkuja juures kasutada, kuid edu sellel veebisaidil ei tähenda, et sama võti ilmub VPN-kliendi nutikaardi liidese kaudu.

Mõned seadmed rakendavad mitut neist rakendustest kõrvuti, ja tootja dokumentatsioon loetleb režiimid just seetõttu eraldi. See ei ole tõend, et iga turul olev võti toetab iga režiimi.

Riistvara kaitseb võtit, mitte poliitikat

Sertifikaadiga seadme PIN kood annab tavaliselt loa võtit kohapeal kasutada, ja see ei ole parool, mida VPN-i kontosüsteem kontrollib. Suunised nagu NIST-i autentimisseadmete suunised nimetavad seda kohalikku sisestust aktiveerimissaladuseks, mis erineb autentimisseadmest endast. Kindlus tuleb tervest disainist, mitte ekraanil olevate küsimuste arvust.

Registreerimine, uuendamine ja eemaldamine jäävad igal juhul identiteedi omaniku juurde. Keegi otsustab endiselt, kes tohib registreeruda, seob volituse õige isikuga ja teeb asendamise võimalikuks, kui seade kaob. Uue võtme ostmine ei tühista vana.

Kirjeldage sisselogimistseremooniat enne riistvara valimist: kas kasutaja trükib koodi, avab allkirjastamisvõtme või kinnitab brauseri küsimuse? Iga vastus tähendab teistsugust klienti, teistsugust lüüsi seadet ja teistsugust tugiteenuse stsenaariumi.

Kus voogud praktikas lahku lähevad

Kooditokenit on kõige lihtsam juurutada ja see on kõige nõrgem veenva võltsitud lehe vastu, sest trükitud koodi saab reaalajas edasi anda. Sertifikaadiga võti peab sellele rünnakuklassile vastu ja on käitamisel kallim, kuna väljaandmine ja tühistamine muutuvad teenuse osaks. FIDO-võti kuulub veebi sisselogimise juurde ja sõltub täielikult sellest, kas identiteedipakkuja seda selle rakenduse jaoks toetab.

Segakeskkonnad on tavalised ja need ei ole automaatselt valed: tunnelile sertifikaat pluss halduskonsoolile kooditoken on sidus jaotus, eeldusel et mõlemad on registreeritud sama identiteedi vastu. Katki läheb jaotus, mida keegi ei dokumenteerinud, kus tugiteenus ei oska öelda, millist faktorit kasutajal puudu on.

Tehke otsus konkreetseks

Kirjutage tseremoonia üles sammudena, mida päris kasutaja teeb, ja seejärel kontrollige, et klient, lüüs ja identiteedipakkuja kõik seda järjestust toetavad. Kokkusobimatus ilmneb tavaliselt viimases sammus, kus klient ei saa seadmega üldse ühendust.

Seejärel kinnitage, mis juhtub, kui seade kaob või sertifikaat aegub. Kui see vastus ei ole kirja pandud, on juurutamisel lünk, mis avastatakse esmaspäeva hommikul.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert