टोकन कोड, स्मार्ट कार्ड किंवा FIDO किल्ली: VPN काय स्वीकारते

एकच कनेक्टर आणि एकच किल्ली-वलय असलेली तीन उपकरणे तीन असंबद्ध देवाणघेवाणींत भाग घेतात। एक सर्व्हर तपासतो असा कोड दाखवते, दुसरे उपकरण कधीही न सोडणाऱ्या किल्लीने स्वाक्षरी करते, आणि तिसरे स्वतःच्या प्रोटोकॉलद्वारे ब्राउझर साइन-इन मंजूर करते। त्यामुळे VPN ने प्रमाणपत्रे वापरावीत की हार्डवेअर टोकन, हा प्रश्न एका स्वरूपाची उपकरण-वर्गाशी तुलना करतो। उत्तर तुम्ही प्रत्यक्षात तीनपैकी कोणते खरेदी केले यावर अवलंबून आहे।

उपकरणापूर्वी पुराव्याचे नाव द्या

एकवेळचा कोड टोकन असे मूल्य तयार करतो जे प्रमाणीकरण सेवा स्वतःच्या पद्धतीने मान्य करते। VPN त्या सेवेपर्यंत RADIUS किंवा संघीय ओळख पुरवठादारामार्फत पोहोचू शकते, आणि टोकनला बोगद्याशी संबंधित काहीही ठेवण्याची कधीही गरज नसते। ते जे सिद्ध करते ते म्हणजे व्यक्तीकडे कोड तयार करणारे उपकरण आहे। कोड ज्या मशीनवर टाइप केला त्या विषयी ते काहीही सिद्ध करत नाही।

स्मार्ट कार्ड प्रकारचे टोकन खाजगी किल्ली साठवते आणि विनंतीनुसार स्वाक्षरीची क्रिया करते, अशा प्रकारे किल्ली निर्यात न करता प्रमाणपत्राची ओळख सिद्ध होते। त्याच्या बाजूचे प्रमाणपत्र सार्वजनिक सामग्री आहे, आणि ते प्रमाणपत्र देणे किल्ली देण्यापेक्षा पूर्णपणे वेगळी कृती आहे।

FIDO किल्ली पुन्हा तिसऱ्या प्रोटोकॉलमध्ये बोलते। ब्राउझर आधारित साइन-इन ती ओळख पुरवठादाराकडे वापरू शकते, पण त्या वेबसाइटवरील यशाचा अर्थ असा नाही की तीच किल्ली VPN क्लायंटच्या स्मार्ट कार्ड इंटरफेसद्वारे दिसेल।

काही उपकरणे यांपैकी अनेक अनुप्रयोग शेजारीशेजारी राबवतात, आणि उत्पादकाची कागदपत्रे मोड स्वतंत्रपणे सूचीबद्ध करतात ते नेमके याच कारणाने। बाजारातील प्रत्येक किल्ली प्रत्येक मोडला पाठिंबा देते हा त्याचा पुरावा नाही।

हार्डवेअर किल्लीचे रक्षण करते, धोरणाचे नाही

प्रमाणपत्र असलेल्या उपकरणावरील PIN सामान्यतः किल्लीच्या स्थानिक वापरास अधिकृत करतो, आणि तो VPN खाते प्रणाली तपासते असा पासवर्ड नाही। प्रमाणकांविषयी NIST ची मार्गदर्शक तत्त्वे सारख्या मार्गदर्शक तत्त्वे त्या स्थानिक इनपुटला सक्रियीकरण गुपित म्हणतात, जे प्रमाणकापेक्षा वेगळे आहे। विश्वास संपूर्ण रचनेतून येतो, स्क्रीनवरील सूचनांच्या संख्येतून नाही।

नोंदणी, नूतनीकरण आणि काढणे कोणत्याही परिस्थितीत ओळख मालकाकडेच राहते। कोण नोंदणी करू शकतो हे अजूनही कोणीतरी ठरवते, ओळखपत्र योग्य व्यक्तीशी जोडते, आणि उपकरण हरवल्यास बदली शक्य करते। नवीन किल्ली खरेदी केल्याने जुनी रद्द होत नाही।

हार्डवेअर निवडण्यापूर्वी साइन-इन विधीचे वर्णन करा: वापरकर्ता कोड टाइप करतो, स्वाक्षरी किल्ली उघडतो, की ब्राउझर सूचना मंजूर करतो? प्रत्येक उत्तर वेगळा क्लायंट, वेगळी गेटवे सेटिंग आणि सहाय्य डेस्कसाठी वेगळी स्क्रिप्ट दर्शवते।

प्रत्यक्षात प्रवाह कुठे वेगळे होतात

कोड टोकन सुरू करणे सर्वात सोपे आणि खात्रीलायक बनावट पानासमोर सर्वात कमजोर आहे, कारण टाइप केलेला कोड प्रत्यक्ष वेळेत पुढे पाठवता येतो। प्रमाणपत्र असलेली किल्ली त्या प्रकारच्या हल्ल्याला तोंड देते आणि चालवण्यास जास्त खर्चिक आहे, कारण निर्गमन आणि रद्दीकरण सेवेचा भाग होते। FIDO किल्ली वेब साइन-इनसोबत असते आणि ओळख पुरवठादार हे अनुप्रयोगासाठी तिला पाठिंबा देतो की नाही यावर पूर्णपणे अवलंबून असते।

मिश्र वातावरण सामान्य आहे, आणि ते आपोआप चुकीचे नाही: बोगद्यासाठी प्रमाणपत्र आणि प्रशासकीय कन्सोलसाठी कोड टोकन हे सुसंगत विभाजन आहे, जर दोन्ही एकाच ओळखीविरुद्ध नोंदणीकृत असतील। जे तुटते ते असे विभाजन आहे जे कोणीही दस्तऐवजीकृत केले नाही, जिथे सहाय्य डेस्क वापरकर्त्याकडे कोणता घटक नाही हे सांगू शकत नाही।

निर्णय ठोस करा

विधी प्रत्यक्ष वापरकर्ता करतो त्या पायऱ्यांचा क्रम म्हणून लिहा, नंतर क्लायंट, गेटवे आणि ओळख पुरवठादार सर्व तो क्रम पाठवतात का ते तपासा। विसंगती सामान्यतः शेवटच्या पायरीत दिसते, जिथे क्लायंट उपकरणाला अजिबात संबोधू शकत नाही।

नंतर उपकरण हरवल्यास किंवा प्रमाणपत्राची मुदत संपल्यास काय होते ते सुनिश्चित करा। जर ते उत्तर लिहिलेले नसेल, तर तैनातीत असा अंतर आहे जो सोमवारी सकाळी लक्षात येईल।

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert