Code de jeton, carte à puce ou clé FIDO : ce qu’un VPN accepte

Trois appareils avec le même connecteur et le même anneau de clés participent à trois échanges sans rapport. L’un affiche un code qu’un serveur vérifie, un autre signe avec une clé qui ne quitte jamais l’appareil, et un troisième approuve une connexion au navigateur via un protocole qui lui est propre. Demander si un VPN doit utiliser des certificats ou des jetons matériels revient donc à comparer un format à une classe d’appareils. La réponse dépend de celui des trois que vous avez réellement acheté.

Nommez la preuve avant l’appareil

Un jeton de code à usage unique produit une valeur qu’un service d’authentification valide selon son propre mécanisme. Le VPN peut joindre ce service via RADIUS ou un fournisseur d’identité fédéré, et le jeton n’a jamais besoin de détenir quoi que ce soit qui appartienne au tunnel lui-même. Ce qu’il prouve, c’est que la personne détient l’appareil qui génère le code. Il ne prouve rien sur la machine sur laquelle le code a été saisi.

Un jeton de type carte à puce stocke une clé privée et exécute l’opération de signature à la demande, c’est ainsi qu’une identité de certificat est prouvée sans exporter la clé. Le certificat qui l’accompagne est un élément public, et remettre ce certificat est un acte très différent de remettre la clé.

Une clé FIDO parle à nouveau un troisième protocole. Une connexion au navigateur peut l’utiliser chez le fournisseur d’identité, mais un succès sur ce site ne signifie pas que la même clé apparaîtra via l’interface de carte à puce d’un client VPN.

Certains appareils implémentent plusieurs de ces applications côte à côte, et la documentation du fournisseur énumère les modes séparément précisément pour cette raison. Ce n’est pas la preuve que chaque clé du marché prend en charge chaque mode.

Le matériel protège la clé, pas la politique

Un PIN sur un appareil adossé à un certificat autorise généralement l’usage local de la clé, et ce n’est pas le mot de passe que vérifie le système de comptes du VPN. Des recommandations comme les recommandations du NIST sur les authentificateurs appellent cette saisie locale un secret d’activation, distinct de l’authentificateur lui-même. L’assurance vient de la conception d’ensemble, non du nombre d’invites à l’écran.

L’enrôlement, le renouvellement et le retrait restent de toute façon du ressort du propriétaire de l’identité. Quelqu’un décide encore qui peut s’enrôler, lie l’identifiant à la bonne personne et rend le remplacement possible lorsqu’un appareil est perdu. Acheter une nouvelle clé ne révoque pas l’ancienne.

Décrivez la cérémonie de connexion avant de choisir le matériel : l’utilisateur saisit-il un code, déverrouille-t-il une clé de signature, ou approuve-t-il une invite du navigateur ? Chaque réponse implique un client différent, un réglage de passerelle différent et un script différent pour l’assistance.

Où les flux divergent en pratique

Un jeton de code est le plus simple à déployer et le plus faible face à une page d’imitation convaincante, car un code saisi peut être relayé en temps réel. Une clé adossée à un certificat résiste à cette classe d’attaque et coûte plus cher à exploiter, car l’émission et la révocation font partie du service. Une clé FIDO se situe avec la connexion web et dépend entièrement de la prise en charge par le fournisseur d’identité pour cette application.

Les parcs mixtes sont courants et ne sont pas automatiquement erronés : un certificat pour le tunnel plus un jeton de code pour la console d’administration est une séparation cohérente, à condition que les deux soient enrôlés contre la même identité. Ce qui casse, c’est une séparation que personne n’a documentée, où l’assistance ne sait pas dire quel facteur manque à un utilisateur.

Rendez la décision concrète

Écrivez la cérémonie comme une suite d’étapes qu’un utilisateur réel effectue, puis vérifiez que le client, la passerelle et le fournisseur d’identité prennent tous en charge cette suite. Un décalage apparaît généralement à la dernière étape, où le client ne peut pas du tout adresser l’appareil.

Confirmez ensuite ce qui se passe lorsque l’appareil est perdu ou que le certificat expire. Si cette réponse n’est pas écrite, le déploiement comporte une lacune qui sera découverte un lundi matin.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert