टोकन कोड, स्मार्ट कार्ड वा FIDO कुञ्जी: VPN ले के स्वीकार्छ

एउटै कनेक्टर र एउटै कुञ्जी-औंठी भएका तीन उपकरण तीन असम्बन्धित आदानप्रदानमा सहभागी हुन्छन्। एउटाले सर्भरले जाँच्ने कोड देखाउँछ, अर्कोले उपकरण कहिल्यै नछोड्ने कुञ्जीले हस्ताक्षर गर्छ, र तेस्रोले आफ्नै प्रोटोकलमार्फत ब्राउजर साइन-इन स्वीकार्छ। त्यसैले VPN ले प्रमाणपत्र वा हार्डवेयर टोकन प्रयोग गर्नुपर्छ भन्ने प्रश्नले एउटा ढाँचालाई उपकरण वर्गसँग तुलना गर्छ। उत्तर तपाईंले वास्तवमा तीनमध्ये कुन खरिद गर्नुभयो भन्नेमा निर्भर छ।

उपकरणभन्दा अघि प्रमाणको नाम राख्नुहोस्

एक-पटकको कोड टोकनले यस्तो मान उत्पादन गर्छ जुन प्रमाणीकरण सेवाले आफ्नै विधिबाट मान्य गर्छ। VPN त्यो सेवासम्म RADIUS वा संघीय पहिचान प्रदायकमार्फत पुग्न सक्छ, र टोकनले सुरुङसँग सम्बन्धित केही पनि राख्नु आवश्यक छैन। यसले प्रमाणित गर्ने कुरा यो हो कि व्यक्तिसँग कोड उत्पादन गर्ने उपकरण छ। कोड टाइप गरिएको मेसिनबारे यसले केही पनि प्रमाणित गर्दैन।

स्मार्ट कार्ड शैलीको टोकनले निजी कुञ्जी भण्डारण गर्छ र अनुरोधमा हस्ताक्षरको कार्य गर्छ, यसरी कुञ्जी निर्यात नगरी प्रमाणपत्रको पहिचान प्रमाणित हुन्छ। यसको छेउमा रहेको प्रमाणपत्र सार्वजनिक सामग्री हो, र त्यो प्रमाणपत्र दिनु कुञ्जी दिनुभन्दा पूर्ण रूपमा फरक कार्य हो।

FIDO कुञ्जी फेरि तेस्रो प्रोटोकलमा बोल्छ। ब्राउजरमा आधारित साइन-इनले यसलाई पहिचान प्रदायकमा प्रयोग गर्न सक्छ, तर त्यो वेबसाइटमा सफल हुनुको अर्थ त्यही कुञ्जी VPN क्लाइन्टको स्मार्ट कार्ड इन्टरफेसमार्फत देखिन्छ भन्ने होइन।

केही उपकरणले यीमध्ये धेरै अनुप्रयोगहरू सँगसँगै लागू गर्छन्, र निर्माताको कागजातले मोडहरू अलग-अलग सूचीबद्ध गर्नुको कारण ठ्याक्कै त्यही हो। बजारको हरेक कुञ्जीले हरेक मोड समर्थन गर्छ भन्ने यो प्रमाण होइन।

हार्डवेयरले कुञ्जीको रक्षा गर्छ, नीतिको होइन

प्रमाणपत्र भएको उपकरणको PIN ले सामान्यतया कुञ्जीको स्थानीय प्रयोग अधिकृत गर्छ, र त्यो VPN खाता प्रणालीले जाँच्ने पासवर्ड होइन। प्रमाणकहरूबारे NIST का निर्देशन जस्ता निर्देशनहरूले त्यो स्थानीय इनपुटलाई सक्रियकरण गोप्य भन्छन्, जुन प्रमाणकभन्दा फरक हुन्छ। भरोसा सम्पूर्ण डिजाइनबाट आउँछ, स्क्रिनमा देखिने सङ्केतको संख्याबाट होइन।

दर्ता, नवीकरण र हटाउने काम जुनसुकै अवस्थामा पहिचान मालिकसँगै रहन्छ। को दर्ता गर्न सक्छ भनी अझै कसैले निर्णय गर्छ, प्रमाणपत्रलाई सही व्यक्तिसँग बाँध्छ, र उपकरण हराएपछि प्रतिस्थापन सम्भव बनाउँछ। नयाँ कुञ्जी किन्दा पुरानो रद्द हुँदैन।

हार्डवेयर छान्नु अघि साइन-इन विधिको वर्णन गर्नुहोस्: प्रयोगकर्ताले कोड टाइप गर्छ, हस्ताक्षर कुञ्जी खोल्छ, वा ब्राउजर सङ्केत स्वीकार्छ? प्रत्येक उत्तरले फरक क्लाइन्ट, फरक गेटवे सेटिङ र सहायता डेस्कका लागि फरक स्क्रिप्ट जनाउँछ।

व्यवहारमा प्रवाहहरू कहाँ अलग हुन्छन्

कोड टोकन सुरु गर्न सबैभन्दा सजिलो र विश्वासिलो नक्कली पृष्ठसामु सबैभन्दा कमजोर हुन्छ, किनकि टाइप गरिएको कोड वास्तविक समयमा अगाडि पठाउन सकिन्छ। प्रमाणपत्र भएको कुञ्जीले त्यो प्रकारको आक्रमणको सामना गर्छ र चलाउन बढी खर्चिलो हुन्छ, किनकि जारी गर्ने र रद्द गर्ने काम सेवाको भाग बन्छ। FIDO कुञ्जी वेब साइन-इनसँगै हुन्छ र पहिचान प्रदायकले यो अनुप्रयोगका लागि यसलाई समर्थन गर्छ कि गर्दैन भन्नेमा पूर्ण रूपमा निर्भर छ।

मिश्रित वातावरण सामान्य छ, र ती आफैमा गलत होइनन्: सुरुङका लागि प्रमाणपत्र र प्रशासनिक कन्सोलका लागि कोड टोकन सुसंगत विभाजन हो, यदि दुवै एउटै पहिचानविरुद्ध दर्ता भएका छन् भने। जे टुट्छ त्यो यस्तो विभाजन हो जुन कसैले अभिलेख गरेन, जहाँ सहायता डेस्कले प्रयोगकर्तासँग कुन तत्व छैन भन्न सक्दैन।

निर्णयलाई ठोस बनाउनुहोस्

विधिलाई वास्तविक प्रयोगकर्ताले गर्ने चरणहरूको क्रमका रूपमा लेख्नुहोस्, त्यसपछि क्लाइन्ट, गेटवे र पहिचान प्रदायक सबैले त्यो क्रम समर्थन गर्छन् कि जाँच्नुहोस्। असंगति सामान्यतया अन्तिम चरणमा देखिन्छ, जहाँ क्लाइन्टले उपकरणलाई बिलकुलै सम्बोधन गर्न सक्दैन।

त्यसपछि उपकरण हराएमा वा प्रमाणपत्रको म्याद सकिएमा के हुन्छ भनी पुष्टि गर्नुहोस्। यदि त्यो उत्तर लेखिएको छैन भने, तैनातीमा सोमबार बिहान पत्ता लाग्ने खाडल छ।

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert