Код токени, смарт-карта же FIDO ачкычы: VPN эмнени кабыл алат

Бирдей туташтыргычы жана бирдей ачкыч шакеги бар үч түзмөк өз ара байланышсыз үч алмашууга катышат. Бири сервер текшерип турган кодду көрсөтөт, экинчиси түзмөктөн эч качан чыкпаган ачкыч менен кол коёт, үчүнчүсү өз протоколу аркылуу браузерден кирүүнү бекитет. Ошондуктан VPN сертификаттарды же аппараттык токендерди колдонушу керекпи деген суроо форматты түзмөктөр классы менен салыштырат. Жооп ушул үчтүн кайсынысын чындап сатып алганыңызга байланыштуу.

Түзмөктөн мурун далилди атаңыз

Бир жолу колдонулуучу код токени аутентификация кызматы өз механизми менен текшере турган маанини жаратат. VPN бул кызматка RADIUS же федеративдик инсандык провайдери аркылуу жете алат, жана токен эч качан туннелдин өзүнө таандык эч нерсени сактоого милдеттүү эмес. Ал адамдын кодду жараткан түзмөктү кармап турганын далилдейт. Код терлген машина жөнүндө эч нерсе далилдебейт.

Смарт-карта түрүндөгү токен жеке ачкычты сактайт жана суроо боюнча кол коюу операциясын аткарат, ушундайча ачкычты экспорттобой эле сертификат инсандыгы далилденет. Жанындагы сертификат ачык материал, ал эми ошол сертификатты берүү ачкычты берүүдөн такыр башка аракет.

FIDO ачкычы дагы үчүнчү протоколдо сүйлөйт. Браузерден кирүү аны инсандык провайдеринде колдоно алат, бирок ошол сайттагы ийгилик ошол эле ачкычтын VPN кардарынын смарт-карта интерфейси аркылуу көрүнөөрүн билдирбейт.

Айрым түзмөктөр ушул колдонмолордун бир нечесин катар ишке ашырат, жана өндүрүүчүнүн документтери режимдерди так ушундан улам өзүнчө тизмелейт. Бул рыноктогу ар бир ачкычтын ар бир режимди колдоосун далилдебейт.

Аппарат ачкычты коргойт, саясатты эмес

Сертификаты бар түзмөктөгү PIN адатта ачкычты жергиликтүү колдонууга уруксат берет, жана ал VPN эсеп системасы текшере турган сырсөз эмес. NISTтин аутентификаторлор боюнча нускамасы сыяктуу нускамалар бул жергиликтүү киргизүүнү активдештирүү сыры деп атайт, ал аутентификатордун өзүнөн өзгөчө. Ишеним бүт дизайндан келет, экрандагы суроолордун санынан эмес.

Каттоо, жаңыртуу жана жоюу кандай болбосун инсандык ээсинде калат. Бирөө дагы эле ким каттала аларын чечет, күбөлүктү туура адамга байлайт жана түзмөк жоголгондо алмаштырууну мүмкүн кылат. Жаңы ачкыч сатып алуу эскисин жокко чыгарбайт.

Аппаратты тандоодон мурун кирүү ритуалын сүрөттөңүз: колдонуучу код терип жатабы, кол коюу ачкычын ачып жатабы, же браузер суроосун бекитип жатабы? Ар бир жооп башка кардарды, башка дарбаза жөндөөсүн жана колдоо кызматынын башка сценарийин билдирет.

Агымдар практикада кайда ажырайт

Код токени киргизүүгө эң оңой жана ишендирерлик жасалма баракка каршы эң алсыз, анткени терлген кодду реалдуу убакытта өткөрүп берүүгө болот. Сертификаты бар ачкыч бул чабуул түрүнө туруштук берет жана колдонуу кымбатыраак, анткени берүү жана жокко чыгаруу кызматтын бөлүгүнө айланат. FIDO ачкычы веб кирүү менен бирге жүрөт жана инсандык провайдеринин аны бул колдонмо үчүн колдоосуна толук көз каранды.

Аралаш чөйрөлөр кеңири таралган жана алар автоматтык түрдө туура эмес эмес: туннел үчүн сертификат жана административдик консоль үчүн код токени — экөө тең бир инсандыкка катталган болсо, бул ырааттуу бөлүнүү. Бузулганы — эч ким документтештирбеген бөлүнүү, анда колдоо кызматы колдонуучуга кайсы фактор жетишпей турганын айта албайт.

Чечимди конкреттүү кылыңыз

Ритуалды чыныгы колдонуучу аткара турган кадамдардын ырааттуулугу катары жазыңыз, анан кардардын, дарбазанын жана инсандык провайдеринин баары ушул ырааттуулукту колдой турганын текшериңиз. Ылайыксыздык адатта акыркы кадамда көрүнөт, кардар түзмөккө такыр кайрыла албаганда.

Анан түзмөк жоголгондо же сертификаттын мөөнөтү бүткөндө эмне болорун ырастаңыз. Эгер бул жооп жазылбаган болсо, киргизүүдө дүйшөмбү таңында табыла турган кемчилик бар.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert