Kóðateppi, snjallkort eða FIDO-lykill: hvað VPN samþykkir

Þrjú tæki með sama tengi og sama lyklahring taka þátt í þremur ótengdum skiptum. Eitt sýnir kóða sem þjónn athugar, annað undirritar með lykli sem fer aldrei frá tækinu, og þriðja samþykkir innskráningu í vafra með eigin samskiptareglum. Því er spurningin um hvort VPN eigi að nota skírteini eða vélbúnaðartákn að bera saman snið við flokk tækja. Svarið fer eftir því hvaða þrenna þú keyptir í raun.

Nefndu sönnunina á undan tækinu

Einskiptis kóðateppi framleiðir gildi sem auðkenningarþjónusta staðfestir með eigin kerfi. VPN getur náð í þessa þjónustu gegnum RADIUS eða sambandsauðkenningarveitu, og tákninu þarf aldrei að geyma neitt sem tilheyrir göngunum sjálfum. Það sannar að viðkomandi hefur tækið sem býr til kóðann. Það sannar ekkert um vélina sem kóðinn var sleginn inn á.

Tákn í snjallkortsstíl geymir einkanlegan lykil og framkvæmir undirritunina þegar þess er óskað, þannig er skírteinisauðkenni sannað án þess að flytja lykilinn út. Skírteinið við hliðina er opinbert efni, og að afhenda það skírteini er allt önnur athöfn en að afhenda lykilinn.

FIDO-lykill talar aftur þriðju samskiptareglurnar. Innskráning í vafra getur notað hann hjá auðkenningarveitunni, en árangur á þeirri vefsíðu þýðir ekki að sami lykillinn birtist gegnum snjallkortsviðmót VPN-biðlara.

Sum tæki útfæra nokkur þessara forrita hlið við hlið, og skjöl framleiðandans telja aðstæðurnar upp sérstaklega einmitt þess vegna. Það er ekki sönnun þess að hver lykill á markaðnum styðji hverja aðstæðu.

Vélbúnaður verndar lykilinn, ekki stefnuna

PIN á skírteinisbundnu tæki heimilar venjulega staðbundna notkun lykilsins, og það er ekki lykilorðið sem VPN-reikningakerfið athugar. Leiðbeiningar eins og leiðbeiningar NIST um auðkenningarhluti kalla þessa staðbundnu innslátt virkjunarleyndarmál, aðskilið frá auðkenningarhlutnum sjálfum. Öryggið kemur frá allri hönnuninni, ekki fjölda skilaboða á skjánum.

Skráning, endurnýjun og fjarlæging eru áfram hjá eiganda auðkennisins í öllum tilvikum. Einhver ákveður enn hver má skrá sig, bindur skilríkið rétta manneskju og gerir skipti möguleg þegar tæki týnist. Að kaupa nýjan lykil afturkallar ekki þann gamla.

Lýstu innskráningarathöfninni áður en þú velur vélbúnað: slær notandinn inn kóða, opnar undirritunarlykil eða samþykkir beiðni í vafranum? Hvert svar felur í sér annan biðlara, aðra stillingu hliðs og annað handrit fyrir aðstoðarþjónustuna.

Hvar flæðin greinast í reynd

Kóðateppi er auðveldast í innleiðingu og veikast gegn sannfærandi eftirlíkingu, því sleginn kóði er hægt að miðla í rauntíma. Skírteinisbundinn lykill stendur gegn þeirri tegund árásar og kostar meira í rekstri, þar sem útgáfa og afturköllun verða hluti þjónustunnar. FIDO-lykill er við vefinnskráninguna og fer algjörlega eftir því hvort auðkenningarveitan styður hann fyrir þetta forrit.

Blandaðar umhverfis eru algeng og eru ekki sjálfkrafa röng: skírteini fyrir göngin auk kóðateppis fyrir stjórnborðið er samhangandi skipting, að því tilskildu að bæði séu skráð gegn sama auðkenni. Það sem brotnar er skipting sem enginn skjalfesti, þar sem aðstoðin getur ekki sagt hvaða þáttur vantar notandann.

Gerðu ákvörðunina áþreifanlega

Skrifaðu athöfnina sem röð skrefa sem raunverulegur notandi framkvæmir, og athugaðu síðan að biðlarinn, hliðið og auðkenningarveitan styðji öll þessa röð. Misræmi kemur venjulega fram í síðasta skrefinu, þar sem biðlarinn getur alls ekki ávarpað tækið.

Staðfestu svo hvað gerist þegar tækið týnist eða skírteinið rennur út. Ef það svar er ekki skrifað niður, hefur innleiðingin eyðu sem uppgötvast einn mánudagsmorgun.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert