Код токені, смарт-карта немесе FIDO кілті: VPN нені қабылдайды

Бірдей қосқышы және бірдей кілт сақинасы бар үш құрылғы өзара байланысы жоқ үш айырбасқа қатысады. Біреуі сервер тексеретін кодты көрсетеді, екіншісі құрылғыдан ешқашан шықпайтын кілтпен қол қояды, ал үшіншісі өз протоколы арқылы браузерден кіруді мақұлдайды. Сондықтан VPN сертификаттарды немесе аппараттық токендерді қолдануы керек пе деген сұрақ форматты құрылғылар класымен салыстырады. Жауап осы үшеуінің қайсысын нақты сатып алғаныңызға байланысты.

Құрылғыдан бұрын дәлелді атаңыз

Бір реттік код токені аутентификация қызметі өз механизмімен тексеретін мәнді жасайды. VPN бұл қызметке RADIUS немесе федеративтік сәйкестік провайдері арқылы жете алады, және токен ешқашан туннельдің өзіне тиесілі ештеңені сақтауға міндетті емес. Ол адамның кодты жасайтын құрылғыны ұстағанын дәлелдейді. Код терілген машина туралы ештеңені дәлелдемейді.

Смарт-карта түріндегі токен жеке кілтті сақтайды және сұрау бойынша қол қою операциясын орындайды, осылайша кілтті экспорттамай-ақ сертификат сәйкестігі дәлелденеді. Қасындағы сертификат ашық материал болып табылады, ал сол сертификатты беру кілтті беруден мүлдем өзгеше әрекет.

FIDO кілті тағы да үшінші протоколда сөйлейді. Браузерден кіру оны сәйкестік провайдерінде қолдана алады, бірақ сол сайттағы сәттілік дәл сол кілттің VPN клиентінің смарт-карта интерфейсі арқылы көрінетінін білдірмейді.

Кейбір құрылғылар осы қолданбалардың бірнешеуін қатар жүзеге асырады, және өндіруші құжаттамасы режимдерді дәл сондықтан бөлек тізімдейді. Бұл нарықтағы әрбір кілттің әрбір режимді қолдайтынының дәлелі емес.

Аппарат кілтті қорғайды, саясатты емес

Сертификаты бар құрылғыдағы PIN әдетте кілтті жергілікті пайдалануға рұқсат береді, және ол VPN шот жүйесі тексеретін құпиясөз емес. NIST-тің аутентификаторлар туралы нұсқаулығы сияқты нұсқаулықтар осы жергілікті енгізуді белсендіру құпиясы деп атайды, ол аутентификатордың өзінен өзгеше. Сенімділік бүкіл дизайннан келеді, экрандағы сұраныстар санынан емес.

Тіркеу, жаңарту және жою қалай болғанда да сәйкестік иесінде қалады. Біреу әлі де кімнің тіркеле алатынын шешеді, куәлікті дұрыс адамға байланыстырады және құрылғы жоғалғанда ауыстыруды мүмкін етеді. Жаңа кілт сатып алу ескісін жоймайды.

Аппаратты таңдамас бұрын кіру рәсімін сипаттаңыз: пайдаланушы код теріп жатыр ма, қол қою кілтін ашып жатыр ма, әлде браузер сұранысын мақұлдап жатыр ма? Әрбір жауап басқа клиентті, басқа шлюз параметрін және қолдау қызметінің басқа сценарийін білдіреді.

Ағындар тәжірибеде қай жерде ажырайды

Код токені енгізуге ең оңай және сенімді жалған бетке қарсы ең әлсіз, себебі терілген кодты нақты уақытта жеткізуге болады. Сертификаты бар кілт бұл шабуыл түріне қарсы тұрады және пайдалану қымбатырақ, өйткені беру мен кері қайтарып алу қызметтің бөлігіне айналады. FIDO кілті веб кірумен бірге жүреді және сәйкестік провайдерінің оны осы қолданба үшін қолдауына толық тәуелді.

Аралас орталар кең тараған және олар автоматты түрде қате емес: туннель үшін сертификат пен әкімшілік консоль үшін код токені — екеуі де бір сәйкестікке тіркелген жағдайда, бұл үйлесімді бөлініс. Бұзылатыны — ешкім құжаттамаған бөлініс, онда қолдау қызметі пайдаланушыға қай фактор жетіспейтінін айта алмайды.

Шешімді нақты етіңіз

Рәсімді нақты пайдаланушы орындайтын қадамдар тізбегі ретінде жазып шығыңыз, содан кейін клиенттің, шлюздің және сәйкестік провайдерінің барлығы осы тізбекті қолдайтынын тексеріңіз. Сәйкессіздік әдетте соңғы қадамда көрінеді, клиент құрылғыға мүлдем жүгіне алмағанда.

Содан кейін құрылғы жоғалғанда немесе сертификаттың мерзімі біткенде не болатынын растаңыз. Егер бұл жауап жазылмаған болса, енгізуде дүйсенбі таңында анықталатын олқылық бар.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert