Kodiċi token, karta intelliġenti jew ċavetta FIDO: x'jaċċetta VPN

Tliet apparati bl-istess konnettur u bl-istess ċirku taċ-ċwievet jieħdu sehem fi tliet skambji mhux relatati. Wieħed juri kodiċi li tispezzjona s-server, ieħor jiffirma b'ċavetta li qatt ma titlaq mill-apparat, u ieħor japprova d-dħul mill-browser permezz ta' protokoll tiegħu stess. Għalhekk il-mistoqsija jekk VPN għandhiex tuża ċertifikati jew tokens tal-ħardwer tqabbel format ma' klassi ta' apparat. It-tweġiba tiddependi minn liema mit-tlieta xtrajt tassew.

Semmi l-prova qabel l-apparat

Token tal-kodiċi ta' darba waħda jipproduċi valur li servizz ta' awtentikazzjoni jivvalida bil-mekkaniżmu tiegħu stess. Il-VPN tista' tasal għal dak is-servizz permezz ta' RADIUS jew fornitur tal-identità federali, u t-token qatt m'għandu jżomm xi ħaġa li tappartjeni lit-tunnel stess. Dak li jipprova huwa li l-persuna żżomm l-apparat li jiġġenera l-kodiċi. Ma jippruvax xejn dwar il-magna li fuqha nkiteb il-kodiċi.

Token bi stil ta' karta intelliġenti jaħżen ċavetta privata u jwettaq l-operazzjoni tal-firma meta tintalab, hekk l-identità taċ-ċertifikat tiġi ppruvata mingħajr ma tiġi esportata ċ-ċavetta. Iċ-ċertifikat ħdejh huwa materjal pubbliku, u li tagħti dak iċ-ċertifikat hija azzjoni kompletament differenti milli tagħti ċ-ċavetta.

Ċavetta FIDO titkellem għat-tielet protokoll darb'oħra. Id-dħul mill-browser jista' jużaha mal-fornitur tal-identità, imma s-suċċess fuq dik il-websajt ma jfissirx li l-istess ċavetta tidher permezz tal-interfaċċa tal-karta intelliġenti ta' klijent VPN.

Xi apparati jimplimentaw diversi minn dawn l-applikazzjonijiet flimkien, u d-dokumentazzjoni tal-fornitur telenka l-modi separatament proprju għalhekk. Mhix prova li kull ċavetta fis-suq tappoġġja kull mod.

Il-ħardwer jipproteġi ċ-ċavetta, mhux il-politika

PIN fuq apparat ibbażat fuq iċ-ċertifikat normalment jawtorizza l-użu lokali taċ-ċavetta, u mhuwiex il-password li tispezzjona s-sistema tal-kontijiet tal-VPN. Linji gwida bħal il-linji gwida tal-NIST dwar l-awtentikaturi jsejħu dak l-input lokali sigriet tal-attivazzjoni, distint mill-awtentikatur innifsu. L-assigurazzjoni tiġi mid-disinn kollu, mhux min-numru ta' talbiet fuq l-iskrin.

Ir-reġistrazzjoni, it-tiġdid u t-tneħħija jibqgħu għand is-sid tal-identità f'kull każ. Xi ħadd xorta jiddeċiedi min jista' jirreġistra, jorbot il-kredenzjali mal-persuna t-tajba, u jagħmel is-sostituzzjoni possibbli meta apparat jintilef. Ix-xiri ta' ċavetta ġdida ma jirrevokax dik antika.

Iddeskrivi ċ-ċerimonja tad-dħul qabel tagħżel il-ħardwer: il-persuna tittajpja kodiċi, tiftaħ ċavetta tal-firma, jew tapprova talba tal-browser? Kull tweġiba timplika klijent differenti, setting tal-gateway differenti u skript different għall-help desk.

Fejn il-flussi jiddiverġu fil-prattika

Token tal-kodiċi huwa l-aktar faċli biex jiġi varat u l-aktar dgħajjef kontra paġna ta' imitazzjoni konvinċenti, għax kodiċi miktub jista' jiġi mgħoddi f'ħin reali. Ċavetta bbażata fuq iċ-ċertifikat tiflaħ għal dik il-klassi ta' attakk u tiswa aktar biex topera, għax il-ħruġ u r-revoka jsiru parti mis-servizz. Ċavetta FIDO tinsab mad-dħul tal-web u tiddependi għal kollox minn jekk il-fornitur tal-identità jappoġġjahiex għal din l-applikazzjoni.

L-ambjenti mħallta huma komuni, u mhumiex awtomatikament ħżiena: ċertifikat għat-tunnel flimkien ma' token tal-kodiċi għall-konsola amministrattiva hija separazzjoni koerenti, sakemm it-tnejn huma rreġistrati kontra l-istess identità. Dak li jinqasam hija separazzjoni li ħadd ma ddokumenta, fejn il-help desk ma jistax jgħid liema fattur qed jonqos lil utent.

Agħmel id-deċiżjoni konkreta

Ikteb iċ-ċerimonja bħala sekwenza ta' passi li jwettaq utent reali, imbagħad iċċekkja li l-klijent, il-gateway u l-fornitur tal-identità kollha jappoġġjaw dik is-sekwenza. Nuqqas ta' qbil normalment jidher fl-aħħar pass, fejn il-klijent ma jistax jindirizza l-apparat xejn.

Imbagħad ikkonferma x'jiġri meta l-apparat jintilef jew iċ-ċertifikat jiskadi. Jekk dik it-tweġiba mhix miktuba, il-varar għandu lakuna li se tinsab filgħodu ta' nhar it-Tnejn.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert