Kódový token, čipová karta alebo kľúč FIDO: čo VPN akceptuje

Tri zariadenia s rovnakým konektorom a rovnakým krúžkom na kľúče sa zúčastňujú troch nesúvisiacich výmen. Jedno zobrazuje kód, ktorý kontroluje server, druhé podpisuje kľúčom, ktorý nikdy neopustí zariadenie, a tretie schvaľuje prihlásenie z prehliadača prostredníctvom vlastného protokolu. Otázka, či má VPN používať certifikáty alebo hardvérové tokeny, preto porovnáva formát s triedou zariadení. Odpoveď závisí od toho, ktoré z troch ste skutočne kúpili.

Pomenujte dôkaz skôr než zariadenie

Jednorazový kódový token vytvára hodnotu, ktorú overovacia služba kontroluje vlastným mechanizmom. VPN sa k tejto službe môže dostať cez RADIUS alebo federovaného poskytovateľa identity a token nikdy nemusí uchovávať nič, čo patrí samotnému tunelu. Dokazuje, že človek drží zariadenie, ktoré generuje kód. O počítači, na ktorom bol kód napísaný, nedokazuje nič.

Token v podobe čipovej karty uchováva súkromný kľúč a na požiadanie vykonáva podpisovú operáciu, tak sa identita certifikátu preukazuje bez exportu kľúča. Certifikát vedľa neho je verejný materiál a vydať tento certifikát je celkom iný úkon ako vydať kľúč.

Kľúč FIDO hovorí znova tretím protokolom. Prihlásenie z prehliadača ho môže použiť u poskytovateľa identity, ale úspech na tej stránke neznamená, že sa ten istý kľúč objaví cez rozhranie čipovej karty klienta VPN.

Niektoré zariadenia implementujú viacero z týchto aplikácií vedľa seba a dokumentácia výrobcu uvádza režimy oddelene práve preto. Nie je to dôkaz, že každý kľúč na trhu podporuje každý režim.

Hardvér chráni kľúč, nie politiku

PIN na zariadení s certifikátom zvyčajne povoľuje miestne použitie kľúča a nie je to heslo, ktoré kontroluje systém účtov VPN. Odporúčania ako odporúčania NIST k autentifikátorom nazývajú tento miestny vstup aktivačným tajomstvom, odlišným od samotného autentifikátora. Istota pochádza z celého dizajnu, nie z počtu výziev na obrazovke.

Registrácia, obnova aj odstránenie zostávajú v oboch prípadoch na vlastníkovi identity. Niekto stále rozhoduje, kto sa smie zaregistrovať, viaže poverenie na správnu osobu a umožňuje výmenu, keď sa zariadenie stratí. Kúpa nového kľúča ten starý neodvolá.

Opíšte prihlasovaciu ceremóniu skôr, než vyberiete hardvér: píše používateľ kód, odomyká podpisový kľúč alebo schvaľuje výzvu v prehliadači? Každá odpoveď znamená iného klienta, iné nastavenie brány a iný scenár podpory.

Kde sa toky v praxi rozchádzajú

Kódový token sa nasadzuje najľahšie a je najslabší proti presvedčivej napodobnenej stránke, pretože napísaný kód možno preposlať v reálnom čase. Kľúč s certifikátom odoláva tomuto typu útoku a stojí viac prevádzky, pretože vydávanie a odvolávanie sa stávajú súčasťou služby. Kľúč FIDO stojí pri webovom prihlásení a úplne závisí od toho, či ho poskytovateľ identity pre túto aplikáciu podporuje.

Zmiešané prostredia sú bežné a nie sú automaticky chybou: certifikát pre tunel plus kódový token pre administratívnu konzolu je súdržné rozdelenie, ak sú oba zaregistrované proti tej istej identite. Rozbíja sa rozdelenie, ktoré nikto nedokumentoval, keď podpora nevie povedať, ktorý faktor používateľovi chýba.

Urobte rozhodnutie konkrétnym

Zapíšte ceremóniu ako sled krokov, ktoré vykonáva skutočný používateľ, a potom skontrolujte, či klient, brána aj poskytovateľ identity tento sled podporujú. Nezhoda sa zvyčajne objaví v poslednom kroku, keď klient nedokáže zariadenie vôbec osloviť.

Potom potvrďte, čo sa stane, keď sa zariadenie stratí alebo certifikát vyprší. Ak tá odpoveď nie je napísaná, nasadenie má medzeru, ktorá sa objaví v pondelok ráno.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert