Կոդային թոքեն, խելացի քարտ կամ FIDO բանալի՝ ինչ է ընդունում VPN-ը

Նույն միակցիչով և նույն բանալու օղակով երեք սարքեր մասնակցում են երեք անկապ փոխանակումների։ Մեկը ցուցադրում է կոդ, որը ստուգում է սերվերը, մյուսը ստորագրում է բանալիով, որը երբեք չի հեռանում սարքից, իսկ երրորդը հաստատում է բրաուզերային մուտքը իր սեփական արձանագրությամբ։ Այսպիսով, հարցը, թե VPN-ը պետք է օգտագործի վկայագրեր, թե ապարատային թոքեններ, համեմատում է ձևաչափը սարքի դասի հետ։ Պատասխանը կախված է նրանից, թե երեքից որն եք իրականում գնել։

Անվանեք ապացույցը սարքից առաջ

Մեկանգամյա կոդային թոքենը ստեղծում է արժեք, որը նույնականացման ծառայությունը վավերացնում է իր մեխանիզմով։ VPN-ը կարող է հասնել այդ ծառայությանը RADIUS-ի կամ դաշնային ինքնության մատակարարի միջոցով, և թոքենը երբեք կարիք չունի պահելու որևէ բան, ինչ պատկանում է ինքնին թունելին։ Այն ապացուցում է, որ մարդը տիրապետում է կոդը ստեղծող սարքին։ Այն ոչինչ չի ապացուցում այն մեքենայի մասին, որում մուտքագրվել է կոդը։

Խելացի քարտի տիպի թոքենը պահում է գաղտնի բանալի և հարցման դեպքում կատարում է ստորագրման գործողությունը, այսպես վկայագրի ինքնությունը ապացուցվում է առանց բանալին արտահանելու։ Կողքի վկայագիրը հանրային նյութ է, և այդ վկայագիրը հանձնելը բոլորովին այլ գործողություն է, քան բանալին հանձնելը։

FIDO բանալին կրկին խոսում է երրորդ արձանագրությամբ։ Բրաուզերային մուտքը կարող է այն օգտագործել ինքնության մատակարարի մոտ, սակայն այդ կայքում հաջողությունը չի նշանակում, որ նույն բանալին կհայտնվի VPN հաճախորդի խելացի քարտի միջերեսով։

Որոշ սարքեր զուգահեռ իրականացնում են այս հավելվածներից մի քանիսը, և արտադրողի փաստաթղթերը հենց այդ պատճառով ռեժիմները թվարկում են առանձին։ Սա ապացույց չէ, որ շուկայում յուրաքանչյուր բանալի աջակցում է յուրաքանչյուր ռեժիմի։

Ապարատը պաշտպանում է բանալին, ոչ քաղաքականությունը

Վկայագիր ունեցող սարքի PIN-ը սովորաբար լիազորում է բանալու տեղական օգտագործումը, և դա այն գաղտնաբառը չէ, որը ստուգում է VPN հաշվի համակարգը։ NIST-ի ուղեցույցները ինքնություն հաստատողների մասին-ի նման ուղեցույցները այդ տեղական մուտքը անվանում են ակտիվացման գաղտնիք՝ տարբեր ինքնություն հաստատողից։ Վստահությունը գալիս է ամբողջ ձևավորումից, ոչ էկրանի հուշումների քանակից։

Գրանցումը, նորացումը և հեռացումը ամեն դեպքում մնում են ինքնության սեփականատիրոջը։ Ինչ-որ մեկը դեռ որոշում է, թե ով կարող է գրանցվել, կապում է վկայականը ճիշտ անձի հետ և հնարավոր դարձնում փոխարինումը, երբ սարքը կորչում է։ Նոր բանալի գնելը չի չեղարկում հինը։

Նկարագրեք մուտքի արարողությունը նախքան ապարատ ընտրելը. օգտատերը մուտքագրո՞ւմ է կոդ, բացո՞ւմ է ստորագրման բանալի, թե՞ հաստատում է բրաուզերի հուշումը։ Յուրաքանչյուր պատասխան ենթադրում է այլ հաճախորդ, այլ դարպասի կարգավորում և այլ սցենար աջակցության ծառայության համար։

Որտեղ են հոսքերը գործնականում տարբերվում

Կոդային թոքենն ամենահեշտն է ներդնել և ամենաթույլն է համոզիչ կեղծ էջի դեմ, քանի որ մուտքագրված կոդը կարելի է փոխանցել իրական ժամանակում։ Վկայագրով բանալին դիմանում է այդ տեսակի հարձակմանը և ավելի թանկ է շահագործել, քանի որ թողարկումը և չեղարկումը դառնում են ծառայության մաս։ FIDO բանալին գտնվում է վեբ մուտքի հետ և ամբողջովին կախված է նրանից, թե արդյոք ինքնության մատակարարը աջակցում է այն այս հավելվածի համար։

Խառը միջավայրերը սովորական են և ինքնաբերաբար սխալ չեն. թունելի համար վկայագիր գումարած կոդային թոքեն վարչական կոնսոլի համար համահունչ բաժանում է, պայմանով, որ երկուսն էլ գրանցված են նույն ինքնության դեմ։ Կոտրվում է այն բաժանումը, որը ոչ ոք չի փաստագրել, երբ աջակցության ծառայությունը չի կարող ասել, թե օգտատիրոջը որ գործոնն է պակասում։

Դարձրեք որոշումը կոնկրետ

Գրեք արարողությունը որպես իրական օգտատիրոջ կատարած քայլերի հաջորդականություն, այնուհետև ստուգեք, որ հաճախորդը, դարպասը և ինքնության մատակարարը բոլորն աջակցում են այդ հաջորդականությանը։ Անհամապատասխանությունը սովորաբար ի հայտ է գալիս վերջին քայլում, երբ հաճախորդը բոլորովին չի կարող դիմել սարքին։

Այնուհետև հաստատեք, թե ինչ է տեղի ունենում, երբ սարքը կորչում է կամ վկայագիրը ժամկետանց է դառնում։ Եթե այդ պատասխանը գրված չէ, ներդրումն ունի բաց, որը կբացահայտվի երկուշաբթի առավոտյան։

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert