קוד טוקן, כרטיס חכם או מפתח FIDO: מה VPN מקבל

שלושה התקנים עם אותו מחבר ואותה טבעת מפתחות משתתפים בשלושה חילופים שאינם קשורים זה לזה. אחד מציג קוד ששרת בודק, אחר חותם במפתח שלעולם אינו עוזב את ההתקן, ושלישי מאשר כניסה מהדפדפן באמצעות פרוטוקול משלו. לכן השאלה אם VPN צריך להשתמש בתעודות או בטוקנים חומרתיים משווה פורמט לסוג התקן. התשובה תלויה בזה מאיזה מהשלושה קניתם בפועל.

נסחו את ההוכחה לפני ההתקן

טוקן קוד חד־פעמי מייצר ערך ששירות אימות מאמת באמצעות מנגנון משלו. ה־VPN יכול להגיע לשירות הזה דרך RADIUS או ספק זהות מאוחד, והטוקן לעולם אינו צריך להחזיק דבר השייך למנהרה עצמה. מה שהוא מוכיח הוא שהאדם מחזיק בהתקן שמייצר את הקוד. הוא אינו מוכיח דבר על המחשב שבו הוקלד הקוד.

טוקן בסגנון כרטיס חכם מאחסן מפתח פרטי ומבצע את פעולת החתימה לפי בקשה, וכך מוכחת זהות התעודה בלי לייצא את המפתח. התעודה שלצידו היא חומר ציבורי, ומסירת התעודה הזו היא מעשה שונה לחלוטין ממסירת המפתח.

מפתח FIDO מדבר שוב בפרוטוקול שלישי. כניסה מהדפדפן יכולה להשתמש בו אצל ספק הזהות, אך הצלחה באתר ההוא אינה אומרת שאותו מפתח יופיע דרך ממשק הכרטיס החכם של לקוח VPN.

התקנים מסוימים מיישמים כמה מהיישומים האלה זה לצד זה, והתיעוד של הספק מפרט את המצבים בנפרד בדיוק מהסיבה הזו. זה אינו הוכחה שכל מפתח בשוק תומך בכל מצב.

החומרה מגנה על המפתח, לא על המדיניות

PIN בהתקן מבוסס תעודה בדרך כלל מאשר שימוש מקומי במפתח, והוא אינו הסיסמה שמערכת חשבונות ה־VPN בודקת. הנחיות כמו הנחיות NIST בנושא מאמתים מכנות את הקלט המקומי הזה סוד הפעלה, נבדל מהמאמת עצמו. הביטחון מגיע מכל התכנון, לא ממספר ההנחיות על המסך.

רישום, חידוש והסרה נשארים אצל בעל הזהות בכל מקרה. מישהו עדיין מחליט מי רשאי להירשם, קושר את האישור לאדם הנכון, ומאפשר החלפה כשהתקן הולך לאיבוד. קניית מפתח חדש אינה מבטלת את הישן.

תארו את טקס הכניסה לפני בחירת חומרה: האם המשתמש מקליד קוד, פותח מפתח חתימה, או מאשר הנחיה בדפדפן? כל תשובה משמעה לקוח אחר, הגדרת שער אחרת ותסריט אחר לשירות התמיכה.

היכן הזרימות נפרדות בפועל

טוקן קוד הוא הקל ביותר לפריסה והחלש ביותר מול עמוד חיקוי משכנע, כי קוד שהוקלד יכול להיות מועבר בזמן אמת. מפתח מבוסס תעודה עומד בסוג התקיפה הזה ועולה יותר להפעלה, שכן הנפקה וביטול הופכים לחלק מהשירות. מפתח FIDO נמצא עם הכניסה לאינטרנט ותלוי לחלוטין בשאלה אם ספק הזהות תומך בו עבור היישום הזה.

סביבות מעורבות נפוצות, והן אינן שגויות אוטומטית: תעודה למנהרה ועוד טוקן קוד למסוף הניהול הם פיצול עקבי, בתנאי ששניהם רשומים מול אותה זהות. מה שנשבר הוא פיצול שאיש לא תיעד, שבו שירות התמיכה אינו יכול לומר איזה גורם חסר למשתמש.

הפכו את ההחלטה לקונקרטית

כתבו את הטקס כרצף שלבים שמשתמש אמיתי מבצע, ואז בדקו שהלקוח, השער וספק הזהות כולם תומכים ברצף הזה. אי־התאמה מופיעה בדרך כלל בשלב האחרון, שבו הלקוח אינו יכול לפנות להתקן כלל.

לאחר מכן אשרו מה קורה כשההתקן הולך לאיבוד או כשהתעודה פגה. אם התשובה הזו אינה כתובה, לפריסה יש פער שיתגלה בבוקר יום שני.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert