Kodetoken, smartkort eller FIDO-nøkkel: hva en VPN godtar

Tre enheter med samme kontakt og samme nøkkelring deltar i tre urelaterte utvekslinger. Én viser en kode som en server kontrollerer, én signerer med en nøkkel som aldri forlater enheten, og én godkjenner en nettleserinnlogging gjennom sin egen protokoll. Derfor sammenligner spørsmålet om en VPN bør bruke sertifikater eller maskinvarebrikker et format med en enhetsklasse. Svaret avhenger av hvilken av de tre du faktisk kjøpte.

Navngi beviset før enheten

En engangskodebrikke lager en verdi som en autentiseringstjeneste validerer gjennom sin egen mekanisme. VPN-en kan nå den tjenesten via RADIUS eller en føderert identitetsleverandør, og brikken trenger aldri å holde noe som tilhører selve tunnelen. Det den beviser, er at personen har enheten som genererer koden. Det beviser ingenting om maskinen koden ble skrevet inn på.

En brikke i smartkortstil lagrer en privat nøkkel og utfører signeringsoperasjonen på forespørsel, og det er slik en sertifikatidentitet bevises uten å eksportere nøkkelen. Sertifikatet ved siden av er offentlig materiale, og å utlevere det sertifikatet er en helt annen handling enn å utlevere nøkkelen.

En FIDO-nøkkel snakker igjen en tredje protokoll. En nettleserinnlogging kan bruke den hos identitetsleverandøren, men suksess på det nettstedet betyr ikke at den samme nøkkelen vil dukke opp gjennom smartkortgrensesnittet til en VPN-klient.

Noen enheter implementerer flere av disse applikasjonene side om side, og leverandørdokumentasjonen lister nettopp derfor opp modusene hver for seg. Det er ikke bevis for at hver nøkkel på markedet støtter hver modus.

Maskinvaren beskytter nøkkelen, ikke policyen

En PIN på en sertifikatbasert enhet autoriserer vanligvis lokal bruk av nøkkelen, og den er ikke passordet som VPN-kontosystemet kontrollerer. Veiledninger som NISTs veiledning om autentikatorer kaller den lokale inntastingen en aktiveringshemmelighet, atskilt fra autentikatoren selv. Sikkerheten kommer fra hele designet, ikke fra antallet spørsmål på skjermen.

Registrering, fornyelse og fjerning blir hos identitetseieren uansett. Noen bestemmer fortsatt hvem som kan registreres, binder legitimasjonen til riktig person og gjør utskifting mulig når en enhet mistes. Å kjøpe en ny nøkkel tilbakekaller ikke den gamle.

Beskriv innloggingsseremonien før du velger maskinvare: skriver brukeren en kode, låser opp en signeringsnøkkel eller godkjenner en nettleserforespørsel? Hvert svar innebærer en annen klient, en annen gateway-innstilling og et annet manus for brukerstøtten.

Hvor flytene skilles i praksis

En kodebrikke er enklest å rulle ut og svakest mot en overbevisende etterligningsside, fordi en inntastet kode kan videresendes i sanntid. En sertifikatbasert nøkkel motstår den angrepsklassen og koster mer å drifte, siden utstedelse og tilbakekalling blir en del av tjenesten. En FIDO-nøkkel hører til nettinnloggingen og avhenger helt av om identitetsleverandøren støtter den for denne applikasjonen.

Blandede miljøer er vanlige, og de er ikke automatisk feil: et sertifikat for tunnelen pluss en kodebrikke for administrasjonskonsollen er en sammenhengende deling, forutsatt at begge er registrert mot samme identitet. Det som bryter, er en deling ingen har dokumentert, der brukerstøtten ikke kan si hvilken faktor en bruker mangler.

Gjør beslutningen konkret

Skriv ned seremonien som en sekvens av trinn en ekte bruker utfører, og kontroller deretter at klienten, gatewayen og identitetsleverandøren alle støtter den sekvensen. Et avvik viser seg vanligvis i det siste trinnet, der klienten ikke kan adressere enheten i det hele tatt.

Bekreft deretter hva som skjer når enheten mistes eller sertifikatet utløper. Hvis svaret ikke er skrevet ned, har utrullingen et hull som vil bli oppdaget en mandag morgen.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert