Kode token, kartu pintar, atau kunci FIDO: apa yang diterima VPN

Tiga perangkat dengan konektor yang sama dan gantungan kunci yang sama ikut dalam tiga pertukaran yang tidak saling terkait. Satu menampilkan kode yang diperiksa server, satu menandatangani dengan kunci yang tidak pernah meninggalkan perangkat, dan satu menyetujui masuk lewat peramban melalui protokolnya sendiri. Karena itu, bertanya apakah VPN harus memakai sertifikat atau token perangkat keras membandingkan format dengan kelas perangkat. Jawabannya bergantung pada mana dari ketiganya yang benar-benar Anda beli.

Namai buktinya sebelum perangkatnya

Token kode sekali pakai menghasilkan nilai yang divalidasi layanan autentikasi melalui mekanismenya sendiri. VPN dapat menjangkau layanan itu melalui RADIUS atau penyedia identitas terfederasi, dan token tidak pernah perlu menyimpan apa pun milik terowongan itu sendiri. Yang dibuktikannya adalah orang itu memegang perangkat yang menghasilkan kode. Tidak ada yang dibuktikannya tentang mesin tempat kode diketik.

Token bergaya kartu pintar menyimpan kunci privat dan menjalankan operasi tanda tangan saat diminta, begitulah identitas sertifikat dibuktikan tanpa mengekspor kunci. Sertifikat di sampingnya adalah bahan publik, dan menyerahkan sertifikat itu adalah tindakan yang sangat berbeda dari menyerahkan kunci.

Kunci FIDO berbicara protokol ketiga lagi. Masuk lewat peramban dapat memakainya di penyedia identitas, tetapi keberhasilan di situs itu bukan berarti kunci yang sama akan muncul melalui antarmuka kartu pintar klien VPN.

Beberapa perangkat menerapkan beberapa aplikasi ini berdampingan, dan dokumentasi vendor mencantumkan mode secara terpisah justru karena itu. Ini bukan bukti bahwa setiap kunci di pasar mendukung setiap mode.

Perangkat keras melindungi kuncinya, bukan kebijakannya

PIN pada perangkat berbasis sertifikat biasanya mengesahkan pemakaian lokal kunci, dan itu bukan kata sandi yang diperiksa sistem akun VPN. Panduan seperti panduan NIST tentang pengautentikasi menyebut masukan lokal itu rahasia aktivasi, berbeda dari pengautentikasi itu sendiri. Jaminannya datang dari keseluruhan rancangan, bukan dari jumlah permintaan di layar.

Pendaftaran, pembaruan, dan penghapusan tetap di tangan pemilik identitas bagaimanapun. Seseorang tetap memutuskan siapa yang boleh mendaftar, mengikat kredensial ke orang yang tepat, dan memungkinkan penggantian saat perangkat hilang. Membeli kunci baru tidak mencabut kunci lama.

Jelaskan upacara masuk sebelum memilih perangkat keras: apakah pengguna mengetik kode, membuka kunci tanda tangan, atau menyetujui permintaan peramban? Setiap jawaban menyiratkan klien berbeda, pengaturan gerbang berbeda, dan skrip meja bantuan berbeda.

Di mana alurnya menyimpang dalam praktik

Token kode paling mudah diterapkan dan paling lemah terhadap halaman tiruan yang meyakinkan, karena kode yang diketik dapat diteruskan secara real time. Kunci berbasis sertifikat menahan serangan jenis itu dan lebih mahal dioperasikan, karena penerbitan dan pencabutan menjadi bagian dari layanan. Kunci FIDO berdiri bersama masuk lewat web dan sepenuhnya bergantung pada apakah penyedia identitas mendukungnya untuk aplikasi ini.

Lingkungan campuran itu umum dan tidak otomatis salah: sertifikat untuk terowongan plus token kode untuk konsol administratif adalah pemisahan yang koheren, asalkan keduanya didaftarkan pada identitas yang sama. Yang rusak adalah pemisahan yang tidak didokumentasikan siapa pun, ketika meja bantuan tidak bisa mengatakan faktor mana yang hilang pada pengguna.

Buat keputusannya konkret

Tuliskan upacara itu sebagai rangkaian langkah yang dilakukan pengguna nyata, lalu periksa bahwa klien, gerbang, dan penyedia identitas semuanya mendukung rangkaian itu. Ketidakcocokan biasanya muncul pada langkah terakhir, ketika klien sama sekali tidak dapat menjangkau perangkat.

Lalu pastikan apa yang terjadi ketika perangkat hilang atau sertifikat kedaluwarsa. Jika jawaban itu tidak tertulis, penerapannya punya celah yang akan ditemukan pada suatu pagi Senin.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert