კოდური ტოკენი, ჭკვიანი ბარათი თუ FIDO გასაღები: რას იღებს VPN

სამი მოწყობილობა ერთი და იმავე კონექტორითა და ერთი და იმავე გასაღების რგოლით მონაწილეობს სამ დაუკავშირებელ გაცვლაში. ერთი აჩვენებს კოდს, რომელსაც სერვერი ამოწმებს, მეორე ხელს აწერს გასაღებით, რომელიც არასოდეს ტოვებს მოწყობილობას, ხოლო მესამე ამტკიცებს ბრაუზერიდან შესვლას საკუთარი ოქმით. ამიტომ კითხვა, უნდა გამოიყენოს თუ არა VPN-მა სერტიფიკატები ან ტექნიკური ტოკენები, ადარებს ფორმატს მოწყობილობათა კლასს. პასუხი დამოკიდებულია იმაზე, თუ რომელი სამიდან იყიდეთ სინამდვილეში.

დაასახელეთ მტკიცებულება მოწყობილობამდე

ერთჯერადი კოდური ტოკენი ქმნის მნიშვნელობას, რომელსაც ავთენტიფიკაციის სერვისი საკუთარი მექანიზმით ამოწმებს. VPN-ს შეუძლია ამ სერვისამდე მიაღწიოს RADIUS-ის ან ფედერაციული იდენტობის მომწოდებლის მეშვეობით, და ტოკენს არასოდეს სჭირდება იმის შენახვა, რაც თავად გვირაბს ეკუთვნის. ის ამტკიცებს, რომ ადამიანს უჭირავს მოწყობილობა, რომელიც კოდს ქმნის. ის არაფერს ამტკიცებს იმ მანქანაზე, რომელშიც კოდი აკრეფილია.

ჭკვიანი ბარათის ტიპის ტოკენი ინახავს პირად გასაღებს და მოთხოვნისას ასრულებს ხელმოწერის ოპერაციას, ასე მტკიცდება სერტიფიკატის იდენტობა გასაღების ექსპორტის გარეშე. მის გვერდით არსებული სერტიფიკატი საჯარო მასალაა, და ამ სერტიფიკატის გადაცემა სრულიად განსხვავებული ქმედებაა, ვიდრე გასაღების გადაცემა.

FIDO გასაღები კვლავ მესამე ოქმზე საუბრობს. ბრაუზერიდან შესვლას შეუძლია მისი გამოყენება იდენტობის მომწოდებელთან, მაგრამ წარმატება იმ საიტზე არ ნიშნავს, რომ იგივე გასაღები გამოჩნდება VPN კლიენტის ჭკვიანი ბარათის ინტერფეისით.

ზოგიერთი მოწყობილობა ამ აპლიკაციებიდან რამდენიმეს ერთდროულად ახორციელებს, და მომწოდებლის დოკუმენტაცია რეჟიმებს ცალ-ცალკე სწორედ ამიტომ ჩამოთვლის. ეს არ არის მტკიცებულება, რომ ბაზარზე ყველა გასაღები ყველა რეჟიმს მხარს უჭერს.

აპარატურა იცავს გასაღებს, და არა პოლიტიკას

სერტიფიკატიან მოწყობილობაზე PIN ჩვეულებრივ აძლევს ნებას გასაღების ლოკალურ გამოყენებას, და ის არ არის ის პაროლი, რომელსაც VPN-ის ანგარიშის სისტემა ამოწმებს. NIST-ის სახელმძღვანელო ავთენტიფიკატორებზე-ის მსგავსი სახელმძღვანელოები ამ ლოკალურ შეყვანას აქტივაციის საიდუმლოს უწოდებენ, თავად ავთენტიფიკატორისგან განსხვავებით. გარანტია მთელი დიზაინიდან მოდის, და არა ეკრანზე არსებული მოთხოვნების რაოდენობიდან.

რეგისტრაცია, განახლება და წაშლა ნებისმიერ შემთხვევაში იდენტობის მფლობელს რჩება. ვიღაც მაინც წყვეტს, ვის შეუძლია რეგისტრაცია, აკავშირებს უფლებამოსილებას სწორ პირთან და შესაძლებელს ხდის ჩანაცვლებას მოწყობილობის დაკარგვისას. ახალი გასაღების ყიდვა ძველს არ აუქმებს.

აღწერეთ შესვლის რიტუალი აპარატურის არჩევამდე: აკრეფს თუ არა მომხმარებელი კოდს, ხსნის ხელმოწერის გასაღებს, თუ ამტკიცებს ბრაუზერის მოთხოვნას? ყოველი პასუხი ნიშნავს სხვა კლიენტს, სხვა კარიბჭის პარამეტრს და დახმარების სამსახურის სხვა სცენარს.

სად იყოფა ნაკადები პრაქტიკაში

კოდური ტოკენი ყველაზე ადვილი დასანერგია და ყველაზე სუსტია დამაჯერებელი ყალბი გვერდის წინააღმდეგ, რადგან აკრეფილი კოდის რეალურ დროში გადაცემა შეიძლება. სერტიფიკატიანი გასაღები უძლებს ამ ტიპის შეტევას და ძვირია ოპერირებაში, ვინაიდან გაცემა და გაუქმება სერვისის ნაწილი ხდება. FIDO გასაღები ვებ შესვლასთანაა და მთლიანად დამოკიდებულია იმაზე, მხარს უჭერს თუ არა იდენტობის მომწოდებელი მას ამ აპლიკაციისთვის.

შერეული გარემო გავრცელებულია და ავტომატურად არ არის შეცდომა: სერტიფიკატი გვირაბისთვის და კოდური ტოკენი ადმინისტრაციული კონსოლისთვის თანმიმდევრული დაყოფაა, იმ პირობით, რომ ორივე ერთსა და იმავე იდენტობაზეა რეგისტრირებული. ის იშლება, რაც არავის დაუფიქსირებია, როცა დახმარების სამსახურს არ შეუძლია თქვას, რომელი ფაქტორი აკლია მომხმარებელს.

გახადეთ გადაწყვეტილება კონკრეტული

ჩაწერეთ რიტუალი იმ ნაბიჯების მიმდევრობად, რომლებსაც რეალური მომხმარებელი ასრულებს, შემდეგ შეამოწმეთ, რომ კლიენტი, კარიბჭე და იდენტობის მომწოდებელი ყველა მხარს უჭერს ამ მიმდევრობას. შეუსაბამობა ჩვეულებრივ ბოლო ნაბიჯზე ჩნდება, როცა კლიენტი საერთოდ ვერ მიმართავს მოწყობილობას.

შემდეგ დაადასტურეთ, რა ხდება მოწყობილობის დაკარგვის ან სერტიფიკატის ვადის გასვლისას. თუ ეს პასუხი დაწერილი არ არის, დანერგვას აქვს ხარვეზი, რომელიც ორშაბათის დილას გამოვლინდება.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert