رمز توکن، کارت هوشمند یا کلید FIDO: یک VPN چه چیزی را می‌پذیرد
آویز رمز، کارت هوشمند و کلید FIDO همه توکن سخت‌افزاری نامیده می‌شوند. آن‌ها در جریان‌های متفاوتی شرکت می‌کنند و فقط یکی از آن‌ها کلید گواهی را نگه می‌دارد.
سه دستگاه با یک اتصال و یک حلقه کلید یکسان در سه تبادل بی‌ارتباط شرکت می‌کنند. یکی رمزی را نشان می‌دهد که سرور بررسی می‌کند، یکی با کلیدی امضا می‌کند که هرگز از دستگاه خارج نمی‌شود، و یکی ورود از مرورگر را از طریق پروتکل خودش تأیید می‌کند. بنابراین پرسش از اینکه VPN باید از گواهی‌ها استفاده کند یا از توکن‌های سخت‌افزاری، یک قالب را با یک طبقه از دستگاه‌ها مقایسه می‌کند. پاسخ بستگی دارد به اینکه کدام یک از این سه را واقعاً خریده‌اید.
مدرک را پیش از دستگاه نام ببرید
یک توکن رمز یک‌بارمصرف مقداری تولید می‌کند که سرویس احراز هویت آن را با سازوکار خودش اعتبارسنجی می‌کند. VPN می‌تواند از طریق RADIUS یا یک ارائه‌دهنده هویت فدرال به آن سرویس برسد، و توکن هرگز لازم نیست چیزی متعلق به خود تونل را نگه دارد. آنچه اثبات می‌کند این است که شخص دستگاه تولیدکننده رمز را در دست دارد. هیچ چیزی درباره رایانه‌ای که رمز در آن تایپ شده اثبات نمی‌کند.
توکن به سبک کارت هوشمند کلید خصوصی را ذخیره می‌کند و عملیات امضا را به درخواست انجام می‌دهد، و این‌گونه هویت گواهی بدون صدور کلید اثبات می‌شود. گواهی کنار آن مواد عمومی است، و تحویل دادن آن گواهی اقدامی کاملاً متفاوت از تحویل دادن کلید است.
کلید FIDO دوباره به پروتکل سومی سخن می‌گوید. ورود مبتنی بر مرورگر می‌تواند آن را نزد ارائه‌دهنده هویت به کار ببرد، اما موفقیت در آن وب‌سایت به این معنا نیست که همان کلید از طریق رابط کارت هوشمند یک کلاینت VPN ظاهر می‌شود.
برخی دستگاه‌ها چند مورد از این برنامه‌ها را کنار هم پیاده‌سازی می‌کنند، و مستندات فروشنده دقیقاً به همین دلیل حالت‌ها را جداگانه فهرست می‌کند. این مدرکی نیست بر اینکه هر کلیدی در بازار هر حالتی را پشتیبانی می‌کند.
سخت‌افزار از کلید محافظت می‌کند، نه از سیاست
یک PIN روی دستگاه دارای گواهی معمولاً استفاده محلی از کلید را مجاز می‌کند، و همان گذرواژه‌ای نیست که سیستم حساب VPN بررسی می‌کند. راهنماهایی مانند رهنمودهای NIST درباره احرازکننده‌ها آن ورودی محلی را راز فعال‌سازی می‌نامند، جدا از خود احرازکننده. اطمینان از کل طراحی می‌آید، نه از تعداد درخواست‌های روی صفحه.
ثبت‌نام، تمدید و حذف در هر حالت نزد مالک هویت می‌ماند. هنوز کسی تصمیم می‌گیرد چه کسی می‌تواند ثبت‌نام کند، اعتبارنامه را به شخص درست می‌بندد و هنگام گم شدن دستگاه جایگزینی را ممکن می‌کند. خرید کلید جدید کلید قدیمی را باطل نمی‌کند.
پیش از انتخاب سخت‌افزار، مراسم ورود را توصیف کنید: آیا کاربر رمزی تایپ می‌کند، کلید امضایی را باز می‌کند، یا درخواست مرورگر را تأیید می‌کند؟ هر پاسخ به کلاینت متفاوت، تنظیم متفاوت دروازه و سناریوی متفاوت میز پشتیبانی اشاره دارد.
جریان‌ها در عمل کجا از هم جدا می‌شوند
توکن رمز آسان‌ترین برای استقرار و ضعیف‌ترین در برابر یک صفحه جعلی متقاعدکننده است، زیرا رمز تایپ‌شده را می‌توان در زمان واقعی منتقل کرد. کلید دارای گواهی در برابر این طبقه از حمله مقاومت می‌کند و بهره‌برداری از آن گران‌تر است، چون صدور و ابطال بخشی از سرویس می‌شوند. کلید FIDO در کنار ورود وب قرار دارد و کاملاً بستگی دارد به اینکه ارائه‌دهنده هویت آن را برای این برنامه پشتیبانی کند.
محیط‌های ترکیبی رایج‌اند و به‌طور خودکار اشتباه نیستند: گواهی برای تونل به‌همراه توکن رمز برای کنسول مدیریت، تقسیم‌بندی منسجمی است، به شرطی که هر دو در برابر یک هویت ثبت شده باشند. آنچه می‌شکند تقسیم‌بندی‌ای است که هیچ‌کس مستند نکرده، جایی که میز پشتیبانی نمی‌تواند بگوید کاربر کدام عامل را ندارد.
تصمیم را مشخص کنید
مراسم را به‌صورت دنباله‌ای از گام‌هایی بنویسید که یک کاربر واقعی انجام می‌دهد، سپس بررسی کنید که کلاینت، دروازه و ارائه‌دهنده هویت همه آن دنباله را پشتیبانی می‌کنند. ناسازگاری معمولاً در گام آخر ظاهر می‌شود، جایی که کلاینت اصلاً نمی‌تواند دستگاه را مخاطب قرار دهد.
سپس تأیید کنید وقتی دستگاه گم می‌شود یا گواهی منقضی می‌شود چه اتفاقی می‌افتد. اگر آن پاسخ نوشته نشده باشد، استقرار شکافی دارد که یک صبح دوشنبه کشف خواهد شد.
pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert