Code-Token, Smartcard oder FIDO-Schlëssel: wat eng VPN akzeptéiert

Dräi Geräter mat demselwechten Uschloss an demselwechte Schlësselrank huelen un dräi onofhängegen Austausch deel. Eent weist e Code, deen e Server iwwerpréift, eent ënnerschreift mat engem Schlëssel, deen d'Gerät ni verléisst, an eent genehmegt eng Browser-Umeldung iwwer en eegene Protokoll. Dofir vergläicht d'Fro, ob eng VPN Zertifikaten oder Hardware-Token notze soll, e Format mat enger Geräteklass. D'Äntwert hänkt dovun of, wat vun den dräi Dir tatsächlech kaaft hutt.

Nennt de Beweis virum Gerät

En Eenmol-Code-Token produzéiert e Wäert, deen en Authentifizéierungsservice mat sengem eegene Mechanismus validéiert. D'VPN kann dee Service iwwer RADIUS oder en federéierten Identitéitsprovider erreechen, an den Token brauch ni eppes ze halen, wat zum Tunnel selwer gehéiert. Wat en beweist, ass datt d'Persoun d'Gerät huet, dat de Code generéiert. Iwwer de Rechner, op deem de Code agetippt gouf, beweist en näischt.

En Token am Smartcard-Stil späichert e privaten Schlëssel an erfëllt d'Ënnerschreifungsoperatioun op Ufro, sou gëtt eng Zertifikatsidentitéit bewisen ouni de Schlëssel z'exportéieren. D'Zertifikat niewendru ass ëffentlecht Material, an dëst Zertifikat auszeginn ass eng ganz aner Aktioun wéi de Schlëssel auszeginn.

En FIDO-Schlëssel schwätzt nach en drëtten Protokoll. Eng Browser-Umeldung kann en beim Identitéitsprovider benotzen, awer den Erfolleg op där Websäit heescht net, datt deeselwechte Schlëssel iwwer d'Smartcard-Interface vun engem VPN-Client erschéngt.

E puer Geräter implementéieren méi vun dësen Uwendungen niewendrun, an d'Dokumentatioun vum Hiersteller zielt d'Modi just dowéinst getrennt op. Dat ass kee Beweis, datt all Schlëssel um Maart all Modus ënnerstëtzt.

D'Hardware schützt de Schlëssel, net d'Politik

Eng PIN op engem zertifikatsbaséierte Gerät autoriséiert meeschtens déi lokal Notzung vum Schlëssel, an et ass net d'Passwuert, dat d'VPN-Kontosystem iwwerpréift. Richtlinnen wéi d'NIST-Richtlinne fir Authenticatoren nennen dee lokalen Input en Aktivéierungsgeheimnis, getrennt vum Authenticator selwer. D'Sécherheet kënnt aus dem ganzen Design, net aus der Zuel vun de Froe um Écran.

Umeldung, Erneierung an Entfernung bleiwen op alle Fall beim Identitéitseigner. Et entscheet ëmmer nach een, wien sech umelle kann, bënnt d'Berechtegung un déi richteg Persoun a mécht den Ersatz méiglech, wann e Gerät verluer geet. En neie Schlëssel kaaft, widerrufft den ale net.

Beschreift d'Umeldungszeremonie, ier Dir Hardware wielt: tippt de Benotzer e Code an, entspärrt en en Ënnerschreifungsschlëssel oder genehmegt en eng Browser-Ufro? All Äntwert bedeit en anere Client, eng aner Gateway-Astellung an en anert Skript fir den Helpdesk.

Wou d'Flëss an der Praxis auserneeginn

En Code-Token ass am einfachsten auszerollen an am schwächsten géint eng iwwerzeegend gefälschte Säit, well en agetippte Code an Echtzäit virugeschalt ka ginn. En zertifikatsbaséierte Schlëssel widdersteet där Angriffsklass a kascht méi am Betrib, well Ausgab a Widderruff Deel vum Service ginn. En FIDO-Schlëssel gehéiert bei d'Web-Umeldung a hänkt komplett dovun of, ob den Identitéitsprovider en fir dës Uwendung ënnerstëtzt.

Gemëschte Ëmfeld ass heefeg, an et ass net automatesch falsch: en Zertifikat fir den Tunnel plus en Code-Token fir d'Administratiounskonsole ass eng kohärent Aufdeelung, soulaang béid géint déiselwecht Identitéit ugemellt sinn. Wat brécht, ass eng Aufdeelung, déi keen dokumentéiert huet, wou den Helpdesk net ka soen, wéi en Faktor engem Benotzer feelt.

Maacht d'Entscheedung konkret

Schreift d'Zeremonie als eng Rei Schrëtt op, déi e richtegen Benotzer ausféiert, a préift dann, ob de Client, de Gateway an den Identitéitsprovider all déi Rei ënnerstëtzen. Eng Onstëmmegkeet weist sech meeschtens am leschte Schrëtt, wou de Client d'Gerät iwwerhaapt net ka uschwätzen.

Bestätegt duerno, wat geschitt, wann d'Gerät verluer geet oder d'Zertifikat ofleeft. Wann déi Äntwert net opgeschriwwe steet, huet d'Ausrollung eng Lück, déi en Méindegmoien entdeckt gëtt.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert