Kooditunniste, älykortti vai FIDO-avain: mitä VPN hyväksyy

Kolme laitetta, joissa on sama liitin ja sama avainrengas, osallistuvat kolmeen toisiinsa liittymättömään vaihtoon. Yksi näyttää koodin, jonka palvelin tarkistaa, toinen allekirjoittaa avaimella, joka ei koskaan poistu laitteesta, ja kolmas hyväksyy selaimen kirjautumisen omalla protokollallaan. Siksi kysymys siitä, pitäisikö VPN:n käyttää varmenteita vai laitteistotunnisteita, vertaa muotoa laiteryhmään. Vastaus riippuu siitä, minkä kolmesta todella ostit.

Nimeä todiste ennen laitetta

Kertakäyttöinen kooditunniste tuottaa arvon, jonka todennuspalvelu validoi omalla mekanismillaan. VPN voi tavoittaa kyseisen palvelun RADIUS:n tai federoidun identiteetintarjoajan kautta, eikä tunnisteen koskaan tarvitse säilyttää mitään itse tunneliin kuuluvaa. Se todistaa, että henkilö pitää laitetta, joka tuottaa koodin. Se ei todista mitään koneesta, jolla koodi kirjoitettiin.

Älykorttityyppinen tunniste tallentaa yksityisen avaimen ja suorittaa allekirjoitustoimenimen pyynnöstä, näin varmenneidentiteetti todistetaan viemättä avainta ulos. Sen vieressä oleva varmenne on julkista materiaalia, ja tuon varmenteen luovuttaminen on täysin eri toimi kuin avaimen luovuttaminen.

FIDO-avain puhuu jälleen kolmatta protokollaa. Selainpohjainen kirjautuminen voi käyttää sitä identiteetintarjoajan luona, mutta menestys kyseisellä sivustolla ei tarkoita, että sama avain ilmestyisi VPN-asiakkaan älykorttiliitännän kautta.

Jotkin laitteet toteuttavat useita näistä sovelluksista rinnakkain, ja valmistajan dokumentaatio luettelee tilat erikseen juuri siksi. Se ei ole todiste siitä, että jokainen markkinoiden avain tukee jokaista tilaa.

Laitteisto suojaa avainta, ei käytäntöä

Varmenteellisen laitteen PIN yleensä valtuuttaa avaimen paikalliseen käyttöön, eikä se ole salasana, jonka VPN-tilijärjestelmä tarkistaa. Ohjeet kuten NIST:n todennuslaitteita koskevat ohjeet kutsuvat tuota paikallista syötettä aktivointisalaksi, erilliseksi itse todennuslaitteesta. Varmuus tulee koko suunnittelusta, ei näytön kehotteiden määrästä.

Rekisteröinti, uusiminen ja poisto jäävät joka tapauksessa identiteetin omistajalle. Joku päättää edelleen, kuka saa rekisteröityä, sitoo valtuuden oikeaan henkilöön ja tekee vaihdon mahdolliseksi, kun laite katoaa. Uuden avaimen ostaminen ei peruuta vanhaa.

Kuvaile kirjautumisseremonia ennen laitteiston valintaa: kirjoittaako käyttäjä koodin, avaako hän allekirjoitusavaimen vai hyväksyykö hän selaimen kehotteen? Jokainen vastaus tarkoittaa eri asiakasta, eri yhdyskäytävän asetusta ja eri tukipalvelun käsikirjoitusta.

Missä kulut erkanevat käytännössä

Kooditunniste on helpoin ottaa käyttöön ja heikoin vakuuttavaa jäljiteltyä sivua vastaan, koska kirjoitettu koodi voidaan välittää reaaliajassa. Varmenteellinen avain kestää tämän hyökkäysluokan ja maksaa enemmän ylläpitää, koska myöntäminen ja peruuttaminen tulevat osaksi palvelua. FIDO-avain kuuluu verkkokirjautumiseen ja riippuu täysin siitä, tukeeko identiteetintarjoaja sitä tässä sovelluksessa.

Sekakympäristöt ovat yleisiä, eivätkä ne ole automaattisesti vääriä: varmenne tunnelille ja kooditunniste hallintakonsolille on johdonmukainen jako, edellyttäen että molemmat on rekisteröity samaa identiteettiä vasten. Rikkipuoli on jako, jota kukaan ei dokumentoinut, jossa tuki ei osaa kertoa, mikä tekijä käyttäjältä puuttuu.

Tee päätöksestä konkreettinen

Kirjoita seremonia muistiin vaiheina, jotka todellinen käyttäjä suorittaa, ja tarkista sitten, että asiakas, yhdyskäytävä ja identiteetintarjoaja kaikki tukevat tätä vaihejonoa. Epäjohdonmukaisuus ilmenee yleensä viimeisessä vaiheessa, jossa asiakas ei voi lainkaan tavoittaa laitetta.

Vahvista sitten, mitä tapahtuu, kun laite katoaa tai varmenne vanhenee. Jos sitä vastausta ei ole kirjoitettu, käyttöönotossa on aukko, joka löydetään maanantaiaamuna.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert