Kodni žeton, pametna kartica ali ključ FIDO: kaj sprejme VPN

Tri naprave z isto priključkom in istim obročkom za ključe sodelujejo v treh nepovezanih izmenjavah. Ena prikazuje kodo, ki jo preveri strežnik, druga podpisuje s ključem, ki nikoli ne zapusti naprave, tretja pa odobri prijavo iz brskalnika po lastnem protokolu. Zato vprašanje, ali naj VPN uporablja certifikate ali strojne žetone, primerja obliko z razredom naprav. Odgovor je odvisen od tega, katero od treh ste dejansko kupili.

Poimenujte dokaz pred napravo

Enkratni kodni žeton ustvari vrednost, ki jo overitvena storitev preveri z lastnim mehanizmom. VPN lahko doseže to storitev prek RADIUS ali zveznega ponudnika identitete, in žetonu nikoli ni treba hraniti ničesar, kar pripada samemu tunelu. Dokazuje, da ima oseba napravo, ki ustvarja kodo. O računalniku, na katerem je bila koda vnesena, ne dokazuje ničesar.

Žeton v obliki pametne kartice hrani zasebni ključ in na zahtevo izvede podpisno operacijo, tako se identiteta certifikata dokaže brez izvoza ključa. Certifikat ob njem je javno gradivo, in izročiti ta certifikat je povsem drugo dejanje kot izročiti ključ.

Ključ FIDO spet govori tretji protokol. Prijava iz brskalnika ga lahko uporabi pri ponudniku identitete, vendar uspeh na tej strani ne pomeni, da se bo isti ključ pojavil prek vmesnika pametne kartice odjemalca VPN.

Nekatere naprave izvajajo več teh aplikacij drugo ob drugi, in dokumentacija proizvajalca načine našteva ločeno prav zato. To ni dokaz, da vsak ključ na trgu podpira vsak način.

Strojna oprema ščiti ključ, ne politike

PIN na napravi s certifikatom običajno dovoli lokalno uporabo ključa in ni geslo, ki ga preverja sistem računov VPN. Smernice, kot so smernice NIST o overiteljih, ta lokalni vnos imenujejo aktivacijska skrivnost, ločena od samega overitelja. Zagotovilo izhaja iz celotne zasnove, ne iz števila pozivov na zaslonu.

Registracija, obnova in odstranitev v vsakem primeru ostanejo pri lastniku identitete. Nekdo še vedno odloča, kdo se lahko registrira, poveže poverilnico s pravo osebo in omogoči zamenjavo, ko se naprava izgubi. Nakup novega ključa ne prekliče starega.

Opišite prijavno slovesnost, preden izberete strojno opremo: ali uporabnik vnese kodo, odklene podpisni ključ ali odobri poziv brskalnika? Vsak odgovor pomeni drugega odjemalca, drugo nastavitev prehoda in drug scenarij za službo za pomoč.

Kje se tokovi v praksi razhajajo

Kodni žeton je najlažje uvesti in najšibkejši proti prepričljivi ponarejeni strani, ker je vneseno kodo mogoče posredovati v realnem času. Ključ s certifikatom se upira tej vrsti napada in je dražji za upravljanje, saj izdaja in preklic postaneta del storitve. Ključ FIDO je pri spletni prijavi in je popolnoma odvisen od tega, ali ga ponudnik identitete podpira za to aplikacijo.

Mešana okolja so pogosta in niso samodejno napačna: certifikat za tunel in kodni žeton za upravljalno konzolo je skladna delitev, če sta oba registrirana pri isti identiteti. Zlomi se delitev, ki je noben ni dokumentiral, ko služba za pomoč ne more povedati, kateri dejavnik uporabniku manjka.

Naj bo odločitev konkretna

Zapišite slovesnost kot zaporedje korakov, ki jih izvede resničen uporabnik, nato preverite, ali odjemalec, prehod in ponudnik identitete vsi podpirajo to zaporedje. Neujemanje se običajno pokaže v zadnjem koraku, ko odjemalec naprave sploh ne more nasloviti.

Nato potrdite, kaj se zgodi, ko se naprava izgubi ali certifikat poteče. Če ta odgovor ni zapisan, ima uvajanje vrzel, ki bo odkrita v ponedeljek zjutraj.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert