Kodo žetonas, išmanioji kortelė arba FIDO raktas: ką priima VPN

Trys įrenginiai su tuo pačiu jungtimi ir tuo pačiu raktų žiedu dalyvauja trijuose nesusijusiuose mainuose. Vienas rodo kodą, kurį tikrina serveris, kitas pasirašo raktu, kuris niekada nepalieka įrenginio, o trečias patvirtina prisijungimą naršyklėje savo protokolu. Todėl klausimas, ar VPN turėtų naudoti sertifikatus, ar aparatinius žetonus, lygina formatą su įrenginių klase. Atsakymas priklauso nuo to, kurį iš trijų iš tikrųjų nusipirkote.

Įvardykite įrodymą prieš įrenginį

Vienkartinis kodo žetonas sukuria reikšmę, kurią autentifikavimo tarnyba patikrina savo mechanizmu. VPN gali pasiekti tą tarnybą per RADIUS arba federacinį tapatybės teikėją, ir žetonui niekada nereikia saugoti nieko, kas priklauso pačiam tuneliui. Jis įrodo, kad asmuo turi įrenginį, kuris generuoja kodą. Jis nieko neįrodo apie mašiną, kurioje kodas buvo įvestas.

Išmaniosios kortelės tipo žetonas saugo privatų raktą ir pagal prašymą atlieka pasirašymo operaciją, taip sertifikato tapatybė įrodoma neišeksportuojant rakto. Šalia esantis sertifikatas yra vieša medžiaga, o to sertifikato perdavimas yra visiškai kitas veiksmas nei rakto perdavimas.

FIDO raktas vėl kalba trečiuoju protokolu. Prisijungimas naršyklėje gali jį naudoti tapatybės teikėjo svetainėje, tačiau sėkmė toje svetainėje nereiškia, kad tas pats raktas pasirodys per VPN kliento išmaniosios kortelės sąsają.

Kai kurie įrenginiai įgyvendina kelias iš šių programų greta, ir gamintojo dokumentacija režimus išvardija atskirai būtent todėl. Tai neįrodo, kad kiekvienas rinkoje esantis raktas palaiko kiekvieną režimą.

Aparatinė įranga saugo raktą, o ne politiką

Sertifikatu pagrįsto įrenginio PIN paprastai leidžia vietinį rakto naudojimą, ir tai nėra slaptažodis, kurį tikrina VPN paskyrų sistema. Gairės, tokios kaip NIST gairės dėl autentifikatorių, tą vietinį įvedimą vadina aktyvavimo paslaptimi, atskira nuo paties autentifikatoriaus. Užtikrinimas kyla iš viso dizaino, o ne iš ekrane rodomų užklausų skaičiaus.

Registracija, atnaujinimas ir pašalinimas bet kuriuo atveju lieka tapatybės savininkui. Kažkas vis dar nusprendžia, kas gali registruotis, susieja kredencialus su tinkamu asmeniu ir sudaro galimybę pakeisti įrenginį, kai jis pametamas. Naujo rakto pirkimas nepanaikina senojo.

Aprašykite prisijungimo ceremoniją prieš rinkdamiesi aparatinę įrangą: ar naudotojas įveda kodą, atrakina pasirašymo raktą, ar patvirtina naršyklės užklausą? Kiekvienas atsakymas reiškia kitą klientą, kitą šliuzo nustatymą ir kitą pagalbos tarnybos scenarijų.

Kur srautai praktiškai išsiskiria

Kodo žetonas yra lengviausiai diegiamas ir silpniausias prieš įtikinamą suklastotą puslapį, nes įvestą kodą galima persiųsti realiuoju laiku. Sertifikatu pagrįstas raktas atlaiko tos klasės ataką ir kainuoja daugiau eksploatuoti, nes išdavimas ir atšaukimas tampa paslaugos dalimi. FIDO raktas yra prie žiniatinklio prisijungimo ir visiškai priklauso nuo to, ar tapatybės teikėjas jį palaiko šiai programai.

Mišrios aplinkos yra įprastos ir nėra automatiškai klaidingos: tunelio sertifikatas ir kodo žetonas administravimo konsolei yra nuoseklus padalijimas, jei abu užregistruoti tai pačiai tapatybei. Lūžta tas padalijimas, kurio niekas nedokumentavo, kai pagalbos tarnyba negali pasakyti, kurio veiksnio naudotojui trūksta.

Padarykite sprendimą konkretų

Užrašykite ceremoniją kaip žingsnių seką, kurią atlieka tikras naudotojas, tada patikrinkite, ar klientas, šliuzas ir tapatybės teikėjas visi palaiko tą seką. Neatitikimas paprastai pasirodo paskutiniame žingsnyje, kai klientas visai negali kreiptis į įrenginį.

Tada patvirtinkite, kas nutinka, kai įrenginys pametamas arba sertifikatas baigiasi. Jei tas atsakymas neužrašytas, diegime yra spraga, kuri bus aptikta pirmadienio rytą.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert