Koda marķieris, viedkarte vai FIDO atslēga: ko VPN pieņem

Trīs ierīces ar vienu un to pašu savienotāju un vienu un to pašu atslēgu gredzenu piedalās trīs nesaistītās apmaiņās. Viena rāda kodu, ko pārbauda serveris, otra paraksta ar atslēgu, kas nekad neatstāj ierīci, un trešā apstiprina pieteikšanos pārlūkā ar savu protokolu. Tāpēc jautājums, vai VPN jāizmanto sertifikāti vai aparatūras marķieri, salīdzina formātu ar ierīču klasi. Atbilde ir atkarīga no tā, kuru no trim jūs patiešām iegādājāties.

Nosauciet pierādījumu pirms ierīces

Vienreizējas lietošanas koda marķieris rada vērtību, ko autentifikācijas pakalpojums validē ar savu mehānismu. VPN var sasniegt šo pakalpojumu, izmantojot RADIUS vai federētu identitātes nodrošinātāju, un marķierim nekad nav jāglabā nekas, kas pieder pašam tunelim. Tas pierāda, ka persona tur ierīci, kas ģenerē kodu. Tas neko nepierāda par mašīnu, kurā kods tika ievadīts.

Viedkartes tipa marķieris glabā privāto atslēgu un pēc pieprasījuma veic parakstīšanas operāciju, tā sertifikāta identitāte tiek pierādīta, neeksportējot atslēgu. Blakus esošais sertifikāts ir publisks materiāls, un šī sertifikāta izsniegšana ir pavisam cita darbība nekā atslēgas izsniegšana.

FIDO atslēga atkal runā trešajā protokolā. Pieteikšanās pārlūkā var to izmantot identitātes nodrošinātājā, taču panākumi šajā vietnē nenozīmē, ka tā pati atslēga parādīsies caur VPN klienta viedkartes saskarni.

Dažas ierīces īsteno vairākas no šīm lietojumprogrammām līdzās, un ražotāja dokumentācija režīmus uzskaita atsevišķi tieši tāpēc. Tas nav pierādījums, ka katra atslēga tirgū atbalsta katru režīmu.

Aparatūra aizsargā atslēgu, nevis politiku

PIN sertifikāta atbalstītā ierīcē parasti atļauj atslēgas lokālu lietošanu, un tas nav parole, ko pārbauda VPN kontu sistēma. Vadlīnijas, piemēram, NIST vadlīnijas par autentifikatoriem, šo lokālo ievadi sauc par aktivizācijas noslēpumu, kas atšķiras no paša autentifikatora. Drošība nāk no visa dizaina, nevis no uz ekrāna redzamo uzvedņu skaita.

Reģistrācija, atjaunināšana un noņemšana jebkurā gadījumā paliek identitātes īpašniekam. Kāds joprojām izlemj, kas drīkst reģistrēties, piesaista akreditācijas datus pareizajai personai un padara iespējamu nomaiņu, kad ierīce tiek pazaudēta. Jaunas atslēgas iegāde neatceļ veco.

Aprakstiet pieteikšanās ceremoniju pirms aparatūras izvēles: vai lietotājs ievada kodu, atslēdz parakstīšanas atslēgu vai apstiprina pārlūka uzvedni? Katra atbilde nozīmē citu klientu, citu vārtejas iestatījumu un citu atbalsta dienesta scenāriju.

Kur plūsmas praksē šķiras

Koda marķieris ir visvieglāk ieviešams un vājākais pret pārliecinošu viltotu lapu, jo ievadīto kodu var pārsūtīt reāllaikā. Sertifikāta atbalstīta atslēga iztur šo uzbrukumu klasi un maksā vairāk ekspluatācijā, jo izsniegšana un atsaukšana kļūst par pakalpojuma daļu. FIDO atslēga ir pie tīmekļa pieteikšanās un pilnībā atkarīga no tā, vai identitātes nodrošinātājs to atbalsta šai lietojumprogrammai.

Jauktas vides ir izplatītas, un tās nav automātiski nepareizas: sertifikāts tunelim un koda marķieris administratīvajai konsolei ir konsekvents sadalījums, ja abi ir reģistrēti pret vienu un to pašu identitāti. Tas, kas salūzt, ir sadalījums, ko neviens nav dokumentējis, kur atbalsta dienests nevar pateikt, kura faktora lietotājam trūkst.

Padariet lēmumu konkrētu

Pierakstiet ceremoniju kā soļu secību, ko veic īsts lietotājs, pēc tam pārbaudiet, vai klients, vārteja un identitātes nodrošinātājs visi atbalsta šo secību. Neatbilstība parasti parādās pēdējā solī, kad klients vispār nevar uzrunāt ierīci.

Pēc tam apstipriniet, kas notiek, kad ierīce tiek pazaudēta vai sertifikāts beidzas. Ja šī atbilde nav pierakstīta, ieviešanā ir plaisa, kas tiks atklāta pirmdienas rītā.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert