Token kodea, txartel adimenduna edo FIDO gakoa: zer onartzen du VPN batek

Konektore bera eta gako-eraztun bera dituzten hiru gailuk elkarren arteko loturarik gabeko hiru trukek parte hartzen dute. Batek zerbitzari batek egiaztatzen duen kode bat erakusten du, beste batek gailutik inoiz ateratzen ez den gako batekin sinatzen du, eta hirugarrenak nabigatzaileko saio-hasiera onartzen du bere protokolo propioaren bidez. Beraz, VPN batek ziurtagiriak edo hardware tokenak erabili behar dituen galdetzeak formatu bat gailu-klase batekin alderatzen du. Erantzuna benetan hiruretatik zein erosi duzun araberakoa da.

Izenda ezazu froga gailuaren aurretik

Erabilera bakarreko kode token batek autentifikazio-zerbitzu batek bere mekanismo propioaren bidez baliozkotzen duen balio bat sortzen du. VPNak zerbitzu horretara irits daiteke RADIUS edo identitate hornitzaile federatu baten bidez, eta tokenak ez du inoiz tunelari berari dagokion ezer gorde behar. Frogatzen duena da pertsonak kodea sortzen duen gailua duela. Ez du ezer frogatzen kodea idatzi zen makinari buruz.

Txartel adimendun motako token batek gako pribatu bat gordetzen du eta sinadura-eragiketa eskatzean egiten du, horrela ziurtagiri-identitatea frogatzen da gakoa esportatu gabe. Alboan duen ziurtagiria material publikoa da, eta ziurtagiri hori ematea gakoa ematea baino askoz ekintza desberdina da.

FIDO gako batek hirugarren protokolo bat hitz egiten du berriz. Nabigatzaileko saio-hasierak identitate hornitzailean erabil dezake, baina webgune horretan arrakasta lortzeak ez du esan nahi gako berbera VPN bezero baten txartel adimendun interfazean agertuko denik.

Gailu batzuek aplikazio horietako hainbat aldi berean inplementatzen dituzte, eta hornitzailearen dokumentazioak moduak bereizita zerrendatzen ditu horrexegatik. Ez da froga merkatuko gako bakoitzak modu guztiak onartzen dituenik.

Hardwareak gakoa babesten du, ez politika

Ziurtagiria duen gailu bateko PIN batek gakoaren tokiko erabilera baimentzen du normalean, eta ez da VPN kontu-sistemak egiaztatzen duen pasahitza. NISTen autentifikatzaileen inguruko jarraibideak bezalako jarraibideek tokiko sarrera hori aktibazio-sekretu deitzen dute, autentifikatzailetik berarengandik bereizia. Bermea diseinu osoak ematen du, ez pantailako galderek.

Izen-ematea, berritzea eta kentzea identitatearen jabearen esku geratzen dira nolanahi ere. Norbaitek oraindik erabakitzen du nork eman dezakeen izena, kredentziala pertsona egokira lotzen du eta ordezkapena posible egiten du gailu bat galtzen denean. Gako berri bat erosteak ez du zaharrak baliogabetzen.

Deskriba ezazu saio-hasierako zeremonia hardwarea aukeratu aurretik: erabiltzaileak kodea idazten du, sinadura-gako bat desblokeatzen du, edo nabigatzaileko eskaera bat onartzen du? Erantzun bakoitzak bezero desberdin bat, atearen ezarpen desberdin bat eta laguntza-zerbitzurako gidoi desberdin bat dakar.

Non aldentzen diren fluxuak praktikan

Kode token bat da zabaltzeko errazena eta antzeko orrialde sinesgarri baten aurka ahulena, idatzitako kodea denbora errealean helarazi baitaiteke. Ziurtagiria duen gako batek eraso mota horri aurre egiten dio eta ustiatzeko gehiago balio du, ematea eta baliogabetzea zerbitzuaren parte bihurtzen baitira. FIDO gako bat web saio-hasierarekin dago eta erabat identitate hornitzaileak aplikazio honetarako onartzen duen ala ez da.

Ingurune mistoak ohikoak dira, eta ez dira automatikoki okerrak: tunelerako ziurtagiri bat gehi kudeaketa-kontsolarako kode token bat banaketa koherentea da, betiere biak identitate beraren aurka inskribatuta badaude. Hautsi egiten dena inork dokumentatu ez duen banaketa da, non laguntza-zerbitzuak ezin duen esan erabiltzaileari zein faktore falta zaion.

Egin erabakia zehatz

Idatzi zeremonia erabiltzaile erreal batek egiten dituen urratsen segida gisa, eta gero egiaztatu bezeroak, ateak eta identitate hornitzaileak segida hori onartzen dutela guztiek. Desadostasuna azken urratsean agertzen da normalean, bezeroak gailuari batere heldu ezin dionean.

Gero egiaztatu zer gertatzen den gailua galtzen denean edo ziurtagiria iraungitzen denean. Erantzun hori idatzita ez badago, hedapenak hutsune bat du astelehen goiz batean aurkituko dena.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert