Kód token, chipkártya vagy FIDO kulcs: mit fogad el egy VPN

Három eszköz azonos csatlakozóval és azonos kulcskarimával vesz részt három egymástól független cserében. Az egyik egy kódot jelenít meg, amelyet egy kiszolgáló ellenőriz, a másik egy olyan kulccsal ír alá, amely soha nem hagyja el az eszközt, a harmadik pedig saját protokollján keresztül hagyja jóvá a böngészős bejelentkezést. Ezért a kérdés, hogy egy VPN tanúsítványokat vagy hardveres tokeneket használjon-e, egy formátumot hasonlít össze egy eszközosztállyal. A válasz attól függ, melyiket vásárolta meg a három közül.

Nevezze meg a bizonyítékot az eszköz előtt

Az egyszeri kód token olyan értéket állít elő, amelyet egy hitelesítési szolgáltatás a saját mechanizmusán keresztül ellenőriz. A VPN RADIUSon vagy egy szövetségi identitásszolgáltatón keresztül érheti el ezt a szolgáltatást, és a tokennek soha nem kell semmit tárolnia, ami magához az alagúthoz tartozik. Azt bizonyítja, hogy a személy birtokolja a kódot előállító eszközt. Semmit nem bizonyít arról a gépről, amelyen a kódot beírták.

A chipkártya típusú token privát kulcsot tárol, és kérésre elvégzi az aláírási műveletet, így a tanúsítvány identitása a kulcs exportálása nélkül bizonyítható. A mellette lévő tanúsítvány nyilvános anyag, és e tanúsítvány átadása teljesen más cselekedet, mint a kulcs átadása.

A FIDO kulcs ismét egy harmadik protokollon beszél. A böngészős bejelentkezés használhatja az identitásszolgáltatónál, de az adott webhelyen elért siker nem jelenti azt, hogy ugyanaz a kulcs megjelenik egy VPN kliens chipkártya-interfészén keresztül.

Egyes eszközök több ilyen alkalmazást valósítanak meg egymás mellett, és a gyártói dokumentáció éppen ezért sorolja fel a módokat külön. Ez nem bizonyíték arra, hogy a piacon lévő minden kulcs minden módot támogat.

A hardver a kulcsot védi, nem a szabályzatot

A tanúsítvánnyal ellátott eszköz PIN kódja általában engedélyezi a kulcs helyi használatát, és ez nem az a jelszó, amelyet a VPN fiókrendszere ellenőriz. Az a NIST hitelesítőkre vonatkozó iránymutatásai iránymutatásai ezt a helyi bevitelet aktiválási titoknak nevezik, amely különbözik magától a hitelesítőtől. A biztonság a teljes tervezésből ered, nem a képernyőn megjelenő kérések számából.

A regisztráció, a megújítás és az eltávolítás mindenképpen az identitás tulajdonosánál marad. Valaki továbbra is eldönti, ki regisztrálhat, a hitelesítő adatot a megfelelő személyhez köti, és lehetővé teszi a cserét, ha egy eszköz elveszik. Egy új kulcs megvásárlása nem vonja vissza a régit.

Írja le a bejelentkezési szertartást a hardver kiválasztása előtt: a felhasználó kódot gépel be, aláíró kulcsot nyit ki, vagy böngészős kérést hagy jóvá? Minden válasz más klienst, más átjáróbeállítást és más ügyfélszolgálati forgatókönyvet jelent.

Ahol a folyamatok a gyakorlatban elválnak

A kód token bevezetése a legkönnyebb, és egy meggyőző hamis oldallal szemben a leggyengébb, mert a beírt kód valós időben továbbítható. A tanúsítványos kulcs ellenáll ennek a támadástípusnak, és drágább üzemeltetni, mert a kiállítás és a visszavonás a szolgáltatás részévé válik. A FIDO kulcs a webes bejelentkezéshez tartozik, és teljesen attól függ, hogy az identitásszolgáltató támogatja-e ezt az alkalmazást.

A vegyes környezet gyakori, és nem automatikusan hiba: az alagút tanúsítványa plusz a kód token a felügyeleti konzolhoz következetes felosztás, feltéve, hogy mindkettő ugyanahhoz az identitáshoz van regisztrálva. Az törik meg, amit senki nem dokumentált, amikor az ügyfélszolgálat nem tudja megmondani, melyik tényező hiányzik a felhasználónak.

Tegye konkrétussá a döntést

Írja le a szertartást olyan lépések sorozataként, amelyeket egy valódi felhasználó végrehajt, majd ellenőrizze, hogy a kliens, az átjáró és az identitásszolgáltató mind támogatja ezt a sorozatot. Az eltérés általában az utolsó lépésnél jelentkezik, ahol a kliens egyáltalán nem tudja megszólítani az eszközt.

Ezután erősítse meg, mi történik, ha az eszköz elveszik vagy a tanúsítvány lejár. Ha ez a válasz nincs leírva, a bevezetésben van egy hiányosság, amelyet egy hétfő reggel fedeznek fel.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert