Код токен, паметна картица или FIDO кључ: шта прихвата VPN

Три уређаја са истим конектором и истим прстеном за кључеве учествују у три неповезане размене. Један приказује код који сервер проверава, други потписује кључем који никада не напушта уређај, а трећи одобрава пријаву преко прегледача кроз сопствени протокол. Зато питање да ли VPN треба да користи сертификате или хардверске токене пореди формат са класом уређаја. Одговор зависи од тога који сте од та три заиста купили.

Именујте доказ пре уређаја

Једнократни код токен ствара вредност коју услуга за аутентикацију проверава сопственим механизмом. VPN може да дође до те услуге преко RADIUS-а или федеративног даваоца идентитета, и токен никада не мора да чува ништа што припада самом тунелу. Оно што доказује јесте да особа држи уређај који генерише код. Не доказује ништа о машини на којој је код откуцан.

Токен у стилу паметне картице чува приватни кључ и обавља операцију потписивања на захтев, тако се идентитет сертификата доказује без извоза кључа. Сертификат поред њега је јавни материјал, а предати тај сертификат је сасвим друга радња од предаје кључа.

FIDO кључ говори поново трећи протокол. Пријава преко прегледача може да га користи код даваоца идентитета, али успех на том сајту не значи да ће исти кључ да се појави кроз интерфејс паметне картице VPN клијента.

Неки уређаји имплементирају неколико ових апликација упоредо, и документација произвођача наводи режиме одвојено управо због тога. То није доказ да сваки кључ на тржишту подржава сваки режим.

Хардвер штити кључ, а не политику

PIN на уређају са сертификатом обично одобрава локалну употребу кључа, и то није лозинка коју проверава VPN систем налога. Упутства попут упутства NIST-а о аутентикаторима називају тај локални унос активационом тајном, различитом од самог аутентикатора. Сигурност долази из целог дизајна, а не из броја захтева на екрану.

Регистрација, обнова и уклањање у сваком случају остају код власника идентитета. Неко и даље одлучује ко може да се региструје, везује акредитив за праву особу и омогућава замену када се уређај изгуби. Куповина новог кључа не опозива стари.

Опишите церемонију пријаве пре него што изаберете хардвер: да ли корисник уноси код, откључава кључ за потпис или одобрава захтев у прегледачу? Сваки одговор подразумева други клијент, друго подешавање капије и други сценарио за службу подршке.

Где се токови у пракси разилазе

Код токен је најлакши за увођење и најслабији против уверљиве лажне странице, јер откуцан код може да се пренесе у реалном времену. Кључ са сертификатом одупире се тој класи напада и скупљи је за рад, јер издавање и опозив постају део услуге. FIDO кључ стоји уз веб пријаву и потпуно зависи од тога да ли га давалац идентитета подржава за ову апликацију.

Мешовита окружења су уобичајена и нису аутоматски погрешна: сертификат за тунел плус код токен за административну конзолу је кожерентна подела, под условом да су оба регистрована уз исти идентитет. Оно што се квари јесте подела коју нико није документовао, где служба подршке не може да каже који фактор кориснику недостаје.

Учините одлуку конкретном

Запишите церемонију као низ корака које изводи стварни корисник, а затим проверите да ли клијент, капија и давалац идентитета сви подржавају тај низ. Несклад се обично појави на последњем кораку, када клијент уопште не може да се обрати уређају.

Затим потврдите шта се дешава када се уређај изгуби или сертификат истекне. Ако тај одговор није записан, увођење има празнину која ће бити откривена једног понедељка ујутру.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert