Koade-token, smartkaart of FIDO-kaai: wat in VPN akseptearret

Trije apparaten mei deselde oansluting en deselde kaairing dogge mei oan trije net besibbe útwikselings. Ien lit in koade sjen dy't in tsjinner kontrolearret, ien ûndertekenet mei in kaai dy't it apparaat nea ferlit, en ien altseart in browser-oanmelding fia in eigen protokol. Dat is wêrom't de fraach oft in VPN sertifikaten of hardware-tokens brûke moat, in formaat mei in apparaatklasse ferliket. It antwurd hinget derfan ôf hokker fan de trije jo eins kocht hawwe.

Nammje it bewiis foar it apparaat

In ienmalige koade-token produsearret in wearde dy't in autentikaasjetsjinst fia syn eigen meganisme falidearret. De VPN kin dy tsjinst berikke fia RADIUS of in federearre identiteitsferstrekker, en it token hoecht nea eat te hâlden dat by de tunnel sels heart. Wat it bewissiget, is dat de persoan it apparaat hat dat de koade generearret. It bewissiget neat oer de masine dêr't de koade op typt is.

In token yn 'e foarm fan in smartkaart bewarret in priveekaai en fiert de ûndertekening op fersyk út, sa wurdt in sertifikaatidentiteit bewiisd sûnder de kaai te eksportearjen. It sertifikaat dêrnjonken is iepenbier materiaal, en dat sertifikaat ôfjaan is in hiel oare hanneling as de kaai ôfjaan.

In FIDO-kaai praat wer in tredde protokol. In browser-oanmelding kin him by de identiteitsferstrekker brûke, mar súkses op dy webside betsjut net dat deselde kaai fia de smartkaart-ynterface fan in VPN-klant ferskine sil.

Guon apparaten ymplementearje ferskate fan dizze tapassings njonken inoar, en de dokumintaasje fan 'e leveransier listet de modi dêr krekt om apart op. Dat is gjin bewiis dat elke kaai op 'e merk elke modus stipet.

Hardware beskermet de kaai, net it belied

In PIN op in sertifikaat-basearre apparaat machtiget meastentiids lokaal gebrûk fan 'e kaai, en it is net it wachtwurd dat it VPN-akkountsysteem kontrolearret. Rjochtlinen lykas de NIST-rjochtlinen oer autentikatoren neame dy lokale ynfier in aktivearringsgeheim, apart fan 'e autentikator sels. De garânsje komt út it hiele ûntwerp, net út it oantal fragen op it skerm.

Ynskriuwing, fernijing en ferwidering bliuwe hoe dan ek by de identiteitseigner. Immen beslút noch hwa't ynskriuwe mei, bynt it bewiis oan 'e juste persoan en makket ferfanging mooglik as in apparaat ferlern giet. In nije kaai keapje lûkt de âlde net yn.

Beskriuw de oanmeldingsseremoanje foar't jo hardware kieze: typt de brûker in koade, ûntslút er in ûndertekeningskaai, of altseart er in browserfrege? Elk antwurd betsjut in oare klant, in oare gateway-ynstelling en in oar skript foar de stipe.

Wêr't de streamen yn 'e praktyk útinoar geane

In koade-token is it maklikst út te rollen en it swakst tsjin in oertsjûgjende neibearde side, om't in typte koade yn echte tiid trochjûn wurde kin. In sertifikaat-basearre kaai wjerstiet dy klasse fan oanfal en kostet mear om te bedriuwen, om't útjefte en yntrekken diel wurde fan 'e tsjinst. In FIDO-kaai sit by de web-oanmelding en hinget folslein ôf fan oft de identiteitsferstrekker him foar dizze tapassing stipet.

Mingde omjouwings binne gewoan, en se binne net automatysk ferkeard: in sertifikaat foar de tunnel plus in koade-token foar de administraasjekonsola is in gearhingjende splitsing, mits beide tsjin deselde identiteit ynskreaun binne. Wat brekt is in splitsing dy't nimmen dokumintearre hat, wêr't de stipe net sizze kin hokker faktor in brûker mist.

Meitsje it beslút konkreet

Skriuw de seremoanje del as in searje stappen dy't in echte brûker útfiert, en kontrolearje dan oft de klant, de gateway en de identiteitsferstrekker dy searje allegear stypje. In misferstân docht him meastentiids foar by de lêste stap, wêr't de klant it apparaat hielendal net oansprekke kin.

Befêstigje dan wat der bart as it apparaat ferlern giet of it sertifikaat ferrint. As dat antwurd net opskreaun is, hat de útrol in gat dat op in moandei moarns ûntdutsen wurde sil.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert