Kod token, kad pintar atau kunci FIDO: apa yang diterima VPN

Tiga peranti dengan penyambung yang sama dan gelang kunci yang sama menyertai tiga pertukaran yang tidak berkaitan. Satu memaparkan kod yang diperiksa pelayan, satu menandatangani dengan kunci yang tidak pernah meninggalkan peranti, dan satu meluluskan log masuk pelayar melalui protokolnya sendiri. Oleh itu, bertanya sama ada VPN harus menggunakan sijil atau token perkakasan membandingkan format dengan kelas peranti. Jawapannya bergantung pada yang mana antara ketiga-tiga anda benar-benar beli.

Namakan bukti sebelum peranti

Token kod sekali guna menghasilkan nilai yang disahkan oleh perkhidmatan pengesahan melalui mekanismenya sendiri. VPN boleh mencapai perkhidmatan itu melalui RADIUS atau pembekal identiti persekutuan, dan token itu tidak pernah perlu menyimpan apa-apa milik terowong itu sendiri. Apa yang dibuktikannya ialah orang itu memegang peranti yang menjana kod. Ia tidak membuktikan apa-apa tentang mesin tempat kod itu ditaip.

Token bergaya kad pintar menyimpan kunci peribadi dan melaksanakan operasi tandatangan apabila diminta, begitulah identiti sijil dibuktikan tanpa mengeksport kunci. Sijil di sebelahnya ialah bahan awam, dan menyerahkan sijil itu adalah tindakan yang sangat berbeza daripada menyerahkan kunci.

Kunci FIDO bertutur protokol ketiga sekali lagi. Log masuk melalui pelayar boleh menggunakannya di pembekal identiti, tetapi kejayaan di laman itu tidak bermakna kunci yang sama akan muncul melalui antara muka kad pintar klien VPN.

Sesetengah peranti melaksanakan beberapa aplikasi ini secara selari, dan dokumentasi vendor menyenaraikan mod secara berasingan semata-mata kerana itu. Ia bukan bukti bahawa setiap kunci di pasaran menyokong setiap mod.

Perkakasan melindungi kunci, bukan dasar

PIN pada peranti bersijil biasanya memberi kuasa penggunaan tempatan kunci, dan ia bukan kata laluan yang diperiksa sistem akaun VPN. Panduan seperti panduan NIST tentang pengesah memanggil input tempatan itu rahsia pengaktifan, berbeza daripada pengesah itu sendiri. Jaminan datang daripada keseluruhan reka bentuk, bukan daripada bilangan gesaan pada skrin.

Pendaftaran, pembaharuan dan penyingkiran kekal dengan pemilik identiti dalam apa jua keadaan. Seseorang masih memutuskan siapa yang boleh mendaftar, mengikat kelayakan kepada orang yang betul, dan membolehkan penggantian apabila peranti hilang. Membeli kunci baharu tidak membatalkan yang lama.

Huraikan upacara log masuk sebelum memilih perkakasan: adakah pengguna menaip kod, membuka kunci tandatangan, atau meluluskan gesaan pelayar? Setiap jawapan membayangkan klien berbeza, tetapan get laluan berbeza dan skrip berbeza untuk meja bantuan.

Di mana aliran menyimpang dalam amalan

Token kod paling mudah dilancarkan dan paling lemah terhadap halaman tiruan yang meyakinkan, kerana kod yang ditaip boleh disalurkan dalam masa nyata. Kunci bersijil menahan serangan jenis itu dan lebih mahal untuk dikendalikan, kerana pengeluaran dan pembatalan menjadi sebahagian daripada perkhidmatan. Kunci FIDO terletak dengan log masuk web dan bergantung sepenuhnya pada sama ada pembekal identiti menyokongnya untuk aplikasi ini.

Persekitaran bercampur adalah biasa, dan ia tidak salah secara automatik: sijil untuk terowong tambah token kod untuk konsol pentadbiran ialah pemisahan yang koheren, dengan syarat kedua-duanya didaftarkan terhadap identiti yang sama. Apa yang rosak ialah pemisahan yang tiada siapa dokumentasikan, apabila meja bantuan tidak dapat menyatakan faktor mana yang tiada pada pengguna.

Jadikan keputusan itu konkrit

Tuliskan upacara itu sebagai urutan langkah yang dilakukan pengguna sebenar, kemudian periksa bahawa klien, get laluan dan pembekal identiti semuanya menyokong urutan itu. Ketidakpadanan biasanya muncul pada langkah terakhir, apabila klien langsung tidak dapat menangani peranti.

Kemudian sahkan apa yang berlaku apabila peranti hilang atau sijil tamat tempoh. Jika jawapan itu tidak ditulis, pelancaran mempunyai jurang yang akan ditemui pada suatu pagi Isnin.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert