Kodi token, karta inteligjente ose çelësi FIDO: çfarë pranon një VPN

Tre pajisje me të njëjtin lidhës dhe të njëjtin unazë çelësash marrin pjesë në tre shkëmbime të palidhura. Njëra shfaq një kod që kontrollon një server, tjetra nënshkruan me një çelës që nuk e lë kurrë pajisjen, dhe e treta miraton një hyrje nga shfletuesi përmes protokollit të vet. Prandaj, pyetja nëse një VPN duhet të përdorë certifikata apo tokenë harduerikë krahason një format me një klasë pajisjesh. Përgjigja varet nga ajo se cilën nga të tre keni blerë në të vërtetë.

Emërtoni provën para pajisjes

Një token kodi njëpërdorimësh prodhon një vlerë që një shërbim vërtetimi e vleftëson përmes mekanizmit të vet. VPN-ja mund ta arrijë atë shërbim përmes RADIUS ose një ofruesi federal identiteti, dhe tokeni nuk ka nevojë të mbajë kurrë diçka që i përket vetë tunelit. Ajo që provon është se personi mban pajisjen që gjeneron kodin. Nuk provon asgjë për makinën në të cilën u shtyp kodi.

Një token i stilit të kartës inteligjente ruan një çelës privat dhe kryen operacionin e nënshkrimit sipas kërkesës, kështu vërtetohet identiteti i certifikatës pa eksportuar çelësin. Certifikata pranë tij është material publik, dhe dorëzimi i asaj certifikate është një veprim krejt tjetër nga dorëzimi i çelësit.

Një çelës FIDO flet përsëri një protokoll të tretë. Hyrja nga shfletuesi mund ta përdorë atë te ofruesi i identitetit, por suksesi në atë faqe nuk do të thotë që i njëjti çelës do të shfaqet përmes ndërfaqes së kartës inteligjente të një klienti VPN.

Disa pajisje zbatojnë disa prej këtyre aplikacioneve krah për krah, dhe dokumentacioni i furnizorit i rendit mënyrat veçmas pikërisht për këtë arsye. Nuk është provë që çdo çelës në treg mbështet çdo mënyrë.

Hardueri mbron çelësin, jo politikën

Një PIN në një pajisje me certifikatë zakonisht autorizon përdorimin lokal të çelësit, dhe nuk është fjalëkalimi që kontrollon sistemi i llogarive të VPN-së. Udhëzues si udhëzuesit e NIST për vërtetuesit e quajnë atë hyrje lokale sekret aktivizimi, i ndryshëm nga vetë vërtetuesi. Siguria vjen nga i gjithë projektimi, jo nga numri i kërkesave në ekran.

Regjistrimi, rinovimi dhe heqja mbeten në çdo rast te pronari i identitetit. Dikush ende vendos kush mund të regjistrohet, lidh kredencialin me personin e duhur dhe bën të mundur zëvendësimin kur një pajisje humbet. Blerja e një çelësi të ri nuk e revokon atë të vjetrin.

Përshkruani ceremoninë e hyrjes para se të zgjidhni harduerin: a shtyp përdoruesi një kod, hap një çelës nënshkrimi, apo miraton një kërkesë të shfletuesit? Çdo përgjigje nënkupton një klient tjetër, një cilësim tjetër portë dhe një skenar tjetër për shërbimin e mbështetjes.

Ku ndryshojnë rrjedhat në praktikë

Tokeni i kodit është më i lehti për t'u vendosur dhe më i dobëti ndaj një faqeje mashtruese bindëse, sepse një kod i shtypur mund të përcillet në kohë reale. Çelësi me certifikatë i reziston asaj klase sulmi dhe kushton më shumë për t'u operuar, pasi lëshimi dhe revokimi bëhen pjesë e shërbimit. Çelësi FIDO qëndron me hyrjen në web dhe varet plotësisht nga fakti nëse ofruesi i identitetit e mbështet për këtë aplikacion.

Mjediset e përziera janë të zakonshme dhe nuk janë automatikisht të gabuara: një certifikatë për tunelin plus një token kodi për konsolën administrative është një ndarje koherente, me kusht që të dyja të jenë regjistruar ndaj të njëjtit identitet. Ajo që thyhet është një ndarje që askush nuk e dokumentoi, ku shërbimi i mbështetjes nuk mund të thotë cili faktor i mungon përdoruesit.

Bëjeni vendimin konkret

Shkruajeni ceremoninë si një sekuencë hapash që kryen një përdorues i vërtetë, pastaj kontrolloni që klienti, porta dhe ofruesi i identitetit të gjithë e mbështetin atë sekuencë. Mospërputhja shfaqet zakonisht në hapin e fundit, kur klienti nuk mund ta adresojë fare pajisjen.

Pastaj konfirmoni çfarë ndodh kur pajisja humbet ose certifikata skadon. Nëse ajo përgjigje nuk është e shkruar, vendosja ka një boshllëk që do të zbulohet një mëngjes të hënë.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert