Kod token, pametna kartica ili FIDO ključ: šta VPN prihvata

Tri uređaja s istim konektorom i istim prstenom za ključeve učestvuju u tri nepovezane razmjene. Jedan prikazuje kod koji server provjerava, drugi potpisuje ključem koji nikada ne napušta uređaj, a treći odobrava prijavu putem preglednika kroz vlastiti protokol. Zato pitanje treba li VPN koristiti certifikate ili hardverske tokene poredi format s klasom uređaja. Odgovor zavisi od toga koji ste od ta tri zaista kupili.

Imenujte dokaz prije uređaja

Jednokratni kod token stvara vrijednost koju servis za autentifikaciju provjerava kroz vlastiti mehanizam. VPN može doći do tog servisa putem RADIUS-a ili federalnog davatelja identiteta, a token nikada ne mora čuvati ništa što pripada samom tunelu. On dokazuje da osoba drži uređaj koji generiše kod. Ne dokazuje ništa o mašini na kojoj je kod otkucan.

Token u obliku pametne kartice čuva privatni ključ i obavlja potpisivanje na zahtjev, tako se identitet certifikata dokazuje bez izvoza ključa. Certifikat pored njega je javni materijal, a predati taj certifikat je sasvim druga radnja od predaje ključa.

FIDO ključ govori opet treći protokol. Prijava putem preglednika može ga koristiti kod davatelja identiteta, ali uspjeh na tom sajtu ne znači da će isti ključ biti vidljiv kroz interfejs pametne kartice VPN klijenta.

Neki uređaji implementiraju nekoliko ovih aplikacija uporedo, i dokumentacija proizvođača upravo zato navodi režime odvojeno. To nije dokaz da svaki ključ na tržištu podržava svaki režim.

Hardver štiti ključ, a ne politiku

PIN na uređaju s certifikatom obično odobrava lokalnu upotrebu ključa i nije lozinka koju provjerava VPN sistem naloga. Smjernice poput NIST smjernice za autentifikatore nazivaju taj lokalni unos aktivacijskom tajnom, različitom od samog autentifikatora. Sigurnost dolazi iz cijelog dizajna, a ne iz broja upita na ekranu.

Upis, obnova i uklanjanje u svakom slučaju ostaju kod vlasnika identiteta. Neko i dalje odlučuje ko se može upisati, veže akreditive za pravu osobu i omogućava zamjenu kada se uređaj izgubi. Kupovina novog ključa ne opoziva stari.

Opišite ceremoniju prijave prije odabira hardvera: upisuje li korisnik kod, otključava li ključ za potpisivanje ili odobrava upit u pregledniku? Svaki odgovor podrazumijeva drugi klijent, drugačiju postavku pristupnika i drugačiji scenarij službe za podršku.

Gdje se tokovi u praksi razilaze

Kod token je najlakši za uvođenje i najslabiji protiv uvjerljive lažne stranice, jer se otkucani kod može prenijeti u realnom vremenu. Ključ s certifikatom odbija tu klasu napada i skuplji je za rad, jer izdavanje i opoziv postaju dio servisa. FIDO ključ stoji uz web prijavu i potpuno zavisi od toga da li davatelj identiteta podržava njega za ovu aplikaciju.

Mješovita okruženja su uobičajena i nisu automatski pogrešna: certifikat za tunel plus kod token za administrativnu konzolu koherentna je podjela, pod uslovom da su oba upisana uz isti identitet. Ono što se kvari jest podjela koju nitko nije dokumentirao, gdje služba za podršku ne može reći koji faktor korisniku nedostaje.

Učinite odluku konkretnom

Zapišite ceremoniju kao niz koraka koje stvarni korisnik izvodi, zatim provjerite da klijent, pristupnik i davatelj identiteta svi podržavaju taj niz. Nesklad se obično pojavi na posljednjem koraku, gdje klijent uopće ne može adresirati uređaj.

Zatim potvrdite šta se događa kada se uređaj izgubi ili certifikat istekne. Ako taj odgovor nije zapisan, uvođenje ima prazninu koja će se otkriti u ponedjeljak ujutro.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert