Код токен, ухаалаг карт эсвэл FIDO түлхүүр: VPN юу хүлээж авдаг

Ижил холбогч, ижил түлхүүрийн цагирагтай гурван төхөөрөмж харилцан хамааралгүй гурван солилцоонд оролцдог. Нэг нь сервер шалгадаг код харуулдаг, нөгөө нь төхөөрөмжөөс хэзээ ч гарахгүй түлхүүрээр гарын үсэг зурдаг, гурав дахь нь өөрийн протоколоор хөтчөөс нэвтрэхийг зөвшөөрдөг. Тиймээс VPN сертификат эсвэл техник хангамжийн токен ашиглах ёстой юу гэсэн асуулт форматыг төхөөрөмжийн ангилалтай харьцуулж байна. Хариулт нь та гурваас алийг нь үнэхээр худалдаж авснаас хамаарна.

Төхөөрөмжөөс өмнө нотолгоог нэрлэ

Нэг удаагийн код токен нь баталгаажуулалтын үйлчилгээ өөрийн механизмаар шалгадаг утгыг үүсгэдэг. VPN тэр үйлчилгээнд RADIUS эсвэл холбооны таних тэмдгийн нийлүүлэгчээр дамжин хүрч болно, токен нь туннелийн өөрт хамаарах юуг ч хадгалах шаардлагагүй. Энэ нь хүн кодыг үүсгэдэг төхөөрөмжийг барьж байгааг нотолдог. Код бичигдсэн машины талаар юу ч нотолдоггүй.

Ухаалаг картын хэв маягийн токен нь хувийн түлхүүр хадгалж, хүсэлтээр гарын үсэг зурах үйлдлийг гүйцэтгэдэг, ингэснээр түлхүүрийг экспортлохгүйгээр сертификатын таних тэмдэг нотлогддог. Хажууд нь байгаа сертификат нь нийтийн материал бөгөөд тэр сертификатыг өгөх нь түлхүүрийг өгөхөөс огт өөр үйлдэл юм.

FIDO түлхүүр дахин гурав дахь протоколоор ярьдаг. Хөтчөөс нэвтрэх нь түүнийг таних тэмдгийн нийлүүлэгчид ашиглаж болно, гэхдээ тэр сайт дээрх амжилт нь ижил түлхүүр VPN клиентийн ухаалаг картын интерфейсээр гарч ирнэ гэсэн үг биш.

Зарим төхөөрөмж эдгээр програмуудын хэдийг зэрэгцүүлэн хэрэгжүүлдэг бөгөөд нийлүүлэгчийн баримт бичиг горимуудыг яг ийм учраас тус тусад нь жагсаадаг. Энэ нь зах зээл дээрх түлхүүр бүр бүх горимыг дэмждэг гэсэн нотолгоо биш.

Техник хангамж түлхүүрийг хамгаална, бодлогыг биш

Сертификаттай төхөөрөмж дээрх PIN нь ихэвчлэн түлхүүрийг локал ашиглахыг зөвшөөрдөг бөгөөд энэ нь VPN бүртгэлийн систем шалгадаг нууц үг биш. NIST-ийн баталгаажуулагчийн тухай удирдамж зэрэг удирдамжууд тэр локал оролтыг идэвхжүүлэх нууц гэж нэрлэдэг бөгөөд энэ нь баталгаажуулагчаас өөр. Итгэл бүхэл дизайнаас ирдэг, дэлгэц дээрх хүсэлтийн тооноос биш.

Бүртгэл, шинэчлэл, устгал ямар ч тохиолдолд таних тэмдгийн эзэнд үлддэг. Хэн бүртгүүлж болохыг хэн нэгэн шийдсээр байгаа, итгэмжлэлийг зөв хүнд холбож, төхөөрөмж алдагдсан үед солих боломжийг бүрдүүлдэг. Шинэ түлхүүр худалдаж авах нь хуучныг цуцалдаггүй.

Техник хангамж сонгохын өмнө нэвтрэх ёслолыг тайлбарла: хэрэглэгч код бичиж байна уу, гарын үсгийн түлхүүр нээж байна уу, эсвэл хөтчийн хүсэлтийг зөвшөөрч байна уу? Хариулт бүр өөр клиент, өөр гарцын тохиргоо, тусламжийн албаны өөр хувилбарыг илэрхийлнэ.

Практикт урсгалууд хаана салдаг

Код токен нь нэвтрүүлэхэд хамгийн хялбар бөгөөд итгэмээр хуурамч хуудаст хамгийн сул, учир нь бичсэн кодыг бодит цагт дамжуулж болно. Сертификаттай түлхүүр тэр төрлийн халдлагыг эсэргүүцдэг бөгөөд ажиллуулахад илүү үнэтэй, учир нь олгох, цуцлах нь үйлчилгээний хэсэг болдог. FIDO түлхүүр вэб нэвтрэлтийн хамт байдаг бөгөөд таних тэмдгийн нийлүүлэгч үүнийг энэ програмын хувьд дэмжиж байгаа эсэхээс бүрэн хамаарна.

Холимог орчин түгээмэл бөгөөд тэд автоматаар буруу биш: туннелийн сертификат ба захиргааны консолын код токен нь хоёулаа нэг таних тэмдэгт бүртгэгдсэн тохиолдолд уялдаатай хуваалт юм. Эвдэрдэг нь хэн ч баримтлаагүй хуваалт бөгөөд тусламжийн алба хэрэглэгчид аль хүчин зүйл дутагдаж байгааг хэлж чаддаггүй.

Шийдвэрийг бодит болго

Ёслолыг бодит хэрэглэгчийн гүйцэтгэдэг алхмуудын дараалал болгон бичээд, дараа нь клиент, гарц, таних тэмдгийн нийлүүлэгч бүгд тэр дарааллыг дэмждэг эсэхийг шалга. Зөрүү нь ихэвчлэн сүүлийн алхамд илэрдэг, клиент төхөөрөмжид огт хандаж чадахгүй үед.

Дараа нь төхөөрөмж алдагдсан эсвэл сертификатын хугацаа дууссан үед юу болохыг батал. Хэрэв тэр хариулт бичигдээгүй бол нэвтрүүлэлтэд даваа гарагийн өглөө илрэх цоорхой байна.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert