Код токен, паметна картичка или FIDO клуч: што прифаќа VPN

Три уреди со ист конектор и ист прстен за клучеви учествуваат во три неповрзани размени. Еден прикажува код што серверот го проверува, друг потпишува со клуч што никогаш не го напушта уредот, а трет ја одобрува најавата преку прелистувач преку сопствен протокол. Затоа прашањето дали VPN треба да користи сертификати или хардверски токени споредува формат со класа на уреди. Одговорот зависи од тоа кој од трите навистина сте го купиле.

Именувајте го доказот пред уредот

Еднократниот код токен создава вредност што услугата за автентикација ја проверува преку сопствен механизам. VPN може да дојде до таа услуга преку RADIUS или федеративен давател на идентитет, и токенот никогаш не треба да чува нешто што му припаѓа на самиот тунел. Она што го докажува е дека лицето го држи уредот што го создава кодот. Не докажува ништо за машината на која кодот е внесен.

Токен во стил на паметна картичка чува приватен клуч и ја извршува операцијата за потпис на барање, така се докажува идентитетот на сертификатот без извоз на клучот. Сертификатот до него е јавен материјал, а да се предаде тој сертификат е сосема поинаков чин од предавање на клучот.

FIDO клучот зборува повторно трет протокол. Најавата преку прелистувач може да го користи кај давателот на идентитет, но успехот на таа веб-страница не значи дека истиот клуч ќе се појави преку интерфејсот за паметна картичка на VPN клиент.

Некои уреди имплементираат неколку од овие апликации една до друга, и документацијата на производителот ги наведува режимите одделно токму поради тоа. Тоа не е доказ дека секој клуч на пазарот го поддржува секој режим.

Хардверот го штити клучот, не политиката

PIN на уред поддржан со сертификат обично го овластува локалното користење на клучот, и тоа не е лозинката што ја проверува системот за сметки на VPN. Упатства како упатствата на NIST за автентикатори го нарекуваат тој локален внес активирачка тајна, различна од самиот автентикатор. Обезбедувањето доаѓа од целиот дизајн, не од бројот на барања на екранот.

Регистрацијата, обновувањето и отстранувањето во секој случај остануваат кај сопственикот на идентитетот. Некој сѐ уште одлучува кој може да се регистрира, го врзува акредитивот за вистинското лице и овозможува замена кога уредот ќе се загуби. Купувањето нов клуч не го отповикува стариот.

Опишете ја церемонијата на најава пред да изберете хардвер: дали корисникот внесува код, отклучува клуч за потпис или одобрува барање во прелистувачот? Секој одговор подразбира друг клиент, друго поставување на порта и друго сценарио за службата за поддршка.

Каде тековите се разделуваат во практика

Код токенот е најлесен за воведување и најслаб против уверлива лажна страница, бидејќи внесениот код може да се пренесе во реално време. Клучот со сертификат се спротивставува на тој тип напад и чини повеќе за работа, бидејќи издавањето и отповикувањето стануваат дел од услугата. FIDO клучот стои со најавата на веб и целосно зависи од тоа дали давателот на идентитет го поддржува за оваа апликација.

Мешаните средини се чести и не се автоматски погрешни: сертификат за тунелот плус код токен за административната конзола е кохерентна поделба, под услов и двете да се регистрирани против истиот идентитет. Она што се крши е поделба што никој не ја документирал, кога службата за поддршка не може да каже кој фактор му недостига на корисникот.

Направете ја одлуката конкретна

Запишете ја церемонијата како редослед на чекори што ги извршува вистински корисник, потоа проверете дали клиентот, портата и давателот на идентитет сите го поддржуваат тој редослед. Несовпаѓањето обично се појавува на последниот чекор, кога клиентот воопшто не може да се обрати до уредот.

Потоа потврдете што се случува кога уредот ќе се загуби или сертификатот ќе истече. Ако тој одговор не е запишан, воведувањето има празнина што ќе се открие едно утро во понеделник.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert