टोकन कोड, स्मार्ट कार्ड या FIDO कुंजी: VPN क्या स्वीकार करता है

एक ही कनेक्टर और एक ही चाबी-छल्ले वाले तीन उपकरण तीन असंबद्ध आदान-प्रदानों में भाग लेते हैं। एक ऐसा कोड दिखाता है जिसे सर्वर जाँचता है, दूसरा ऐसी कुंजी से हस्ताक्षर करता है जो कभी उपकरण नहीं छोड़ती, और तीसरा अपने प्रोटोकॉल से ब्राउज़र साइन-इन को स्वीकार करता है। इसलिए यह पूछना कि VPN को प्रमाणपत्र इस्तेमाल करने चाहिए या हार्डवेयर टोकन, एक प्रारूप की तुलना उपकरण वर्ग से करता है। उत्तर इस पर निर्भर है कि आपने वास्तव में तीनों में से कौन-सा खरीदा है।

उपकरण से पहले प्रमाण का नाम लें

एकबारगी कोड टोकन ऐसा मान बनाता है जिसे प्रमाणीकरण सेवा अपनी पद्धति से मान्य करती है। VPN उस सेवा तक RADIUS या किसी संघीय पहचान प्रदाता के माध्यम से पहुँच सकता है, और टोकन को कभी सुरंग से जुड़ी कोई वस्तु रखने की आवश्यकता नहीं होती। यह जो सिद्ध करता है वह यह है कि व्यक्ति के पास वह उपकरण है जो कोड बनाता है। यह उस मशीन के बारे में कुछ सिद्ध नहीं करता जिस पर कोड टाइप किया गया।

स्मार्ट कार्ड जैसा टोकन निजी कुंजी संग्रहीत करता है और अनुरोध पर हस्ताक्षर की क्रिया करता है, इस तरह कुंजी निर्यात किए बिना प्रमाणपत्र की पहचान सिद्ध होती है। उसके साथ वाला प्रमाणपत्र सार्वजनिक सामग्री है, और वह प्रमाणपत्र सौंपना कुंजी सौंपने से बिलकुल भिन्न कार्य है।

FIDO कुंजी फिर तीसरे प्रोटोकॉल में बोलती है। ब्राउज़र आधारित साइन-इन इसे पहचान प्रदाता के पास इस्तेमाल कर सकता है, लेकिन उस वेबसाइट पर सफलता का अर्थ यह नहीं कि वही कुंजी VPN क्लाइंट के स्मार्ट कार्ड इंटरफ़ेस से दिखाई देगी।

कुछ उपकरण इनमें से कई अनुप्रयोग साथ-साथ लागू करते हैं, और निर्माता का दस्तावेज़ इसी कारण मोड अलग-अलग सूचीबद्ध करता है। यह प्रमाण नहीं है कि बाज़ार की हर कुंजी हर मोड का समर्थन करती है।

हार्डवेयर कुंजी की रक्षा करता है, नीति की नहीं

प्रमाणपत्र वाले उपकरण पर PIN सामान्यतः कुंजी के स्थानीय उपयोग को अधिकृत करता है, और यह वह पासवर्ड नहीं है जिसे VPN खाता प्रणाली जाँचती है। प्रमाणकों पर NIST के दिशानिर्देश जैसे दिशानिर्देश उस स्थानीय इनपुट को सक्रियण रहस्य कहते हैं, जो प्रमाणक से अलग है। भरोसा पूरे डिज़ाइन से आता है, स्क्रीन पर संकेतों की संख्या से नहीं।

पंजीकरण, नवीनीकरण और हटाना किसी भी स्थिति में पहचान मालिक के पास ही रहता है। कोई अब भी तय करता है कि कौन पंजीकरण कर सकता है, क्रेडेंशियल को सही व्यक्ति से जोड़ता है, और उपकरण खोने पर प्रतिस्थापन संभव बनाता है। नई कुंजी खरीदना पुरानी को रद्द नहीं करता।

हार्डवेयर चुनने से पहले साइन-इन विधि का वर्णन करें: क्या उपयोगकर्ता कोड टाइप करता है, हस्ताक्षर कुंजी खोलता है, या ब्राउज़र संकेत स्वीकार करता है? हर उत्तर भिन्न क्लाइंट, भिन्न गेटवे सेटिंग और सहायता डेस्क के लिए भिन्न स्क्रिप्ट दर्शाता है।

व्यवहार में प्रवाह कहाँ अलग होते हैं

कोड टोकन शुरू करना सबसे आसान और विश्वसनीय नकली पृष्ठ के सामने सबसे कमज़ोर है, क्योंकि टाइप किया गया कोड वास्तविक समय में आगे भेजा जा सकता है। प्रमाणपत्र वाली कुंजी उस प्रकार के हमले का सामना करती है और चलाने में अधिक खर्चीली है, क्योंकि जारी करना और रद्द करना सेवा का हिस्सा बन जाते हैं। FIDO कुंजी वेब साइन-इन के साथ रहती है और पूरी तरह इस पर निर्भर है कि पहचान प्रदाता इस अनुप्रयोग के लिए इसका समर्थन करता है या नहीं।

मिश्रित वातावरण सामान्य हैं, और वे अपने आप गलत नहीं हैं: सुरंग के लिए प्रमाणपत्र और प्रशासनिक कंसोल के लिए कोड टोकन एक सुसंगत विभाजन है, बशर्ते दोनों एक ही पहचान के विरुद्ध पंजीकृत हों। जो टूटता है वह ऐसा विभाजन है जिसे किसी ने प्रलेखित नहीं किया, जहाँ सहायता डेस्क यह नहीं बता सकता कि उपयोगकर्ता के पास कौन-सा कारक नहीं है।

निर्णय को ठोस बनाएँ

विधि को उन चरणों के क्रम के रूप में लिखें जो वास्तविक उपयोगकर्ता करता है, फिर जाँचें कि क्लाइंट, गेटवे और पहचान प्रदाता तीनों उस क्रम का समर्थन करते हैं। असंगति सामान्यतः अंतिम चरण में दिखती है, जहाँ क्लाइंट उपकरण को बिलकुल संबोधित नहीं कर सकता।

फिर पुष्टि करें कि उपकरण खोने या प्रमाणपत्र समाप्त होने पर क्या होता है। यदि वह उत्तर लिखा नहीं है, तो तैनाती में एक अंतराल है जो सोमवार सुबह पकड़ा जाएगा।

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert