Msimbo wa tokeni, kadi janja au ufunguo wa FIDO: VPN inakubali nini

Vifaa vitatu vyenye kiunganishi kimoja na pete moja ya funguo vinashiriki katika mabadilishano matatu yasiyohusiana. Kimoja kinaonyesha msimbo ambao seva hukagua, kingine hutiwa saini kwa ufunguo ambao hauondoki kamwe kwenye kifaa, na cha tatu huidhinisha kuingia kwa kivinjari kupitia itifaki yake mwenyewe. Kwa hiyo swali la kama VPN inapaswa kutumia vyeti au tokeni za maunzi hulinganisha muundo na tabaka la kifaa. Jibu linategemea ni kipi kati ya vitatu ulichonunua kwa kweli.

Taja uthibitisho kabla ya kifaa

Tokeni ya msimbo wa mara moja huzalisha thamani ambayo huduma ya uthibitishaji huithibitisha kwa utaratibu wake yenyewe. VPN inaweza kufikia huduma hiyo kupitia RADIUS au mtoa utambulisho wa shirikisho, na tokeni haiitaji kamwe kushikilia kitu chochote kinachomilikiwa na handaki yenyewe. Inachothibitisha ni kwamba mtu anashikilia kifaa kinachozalisha msimbo. Haithibitishi chochote kuhusu mashine ambayo msimbo uliandikwa.

Tokeni ya aina ya kadi janja huhifadhi ufunguo wa faragha na hufanya operesheni ya kutia saini inapoomba, hivyo utambulisho wa cheti huthibitishwa bila kuhamisha ufunguo nje. Cheti kilicho pembeni ni nyenzo ya umma, na kutoa cheti hicho ni tendo tofauti kabisa na kutoa ufunguo.

Ufunguo wa FIDO huzungumza itifaki ya tatu tena. Kuingia kwa kivinjari kunaweza kuitumia kwa mtoa utambulisho, lakini mafanikio kwenye tovuti hiyo hayamaanishi kwamba ufunguo huo huo utaonekana kupitia kiolesura cha kadi janja cha mteja wa VPN.

Vifaa vingine hutekeleza programu kadhaa kati ya hizi kwa pamoja, na nyaraka za muuzaji huorodhesha njia tofauti kwa sababu hiyo hiyo. Hiyo si uthibitisho kwamba kila ufunguo sokoni unaunga mkono kila njia.

Maunzi hulinda ufunguo, si sera

PIN kwenye kifaa chenye cheti kwa kawaida huidhinisha matumizi ya ndani ya ufunguo, na si nenosiri ambalo mfumo wa akaunti wa VPN hukagua. Miongozo kama mwongozo wa NIST kuhusu vithibitishaji huita uingizaji huo wa ndani siri ya uanzishaji, tofauti na kithibitishaji chenyewe. Uhakika hutoka katika muundo wote, si kwa idadi ya vidokezo kwenye skrini.

Usajili, uhuishaji na kuondolewa hubaki kwa mmiliki wa utambulisho kwa vyovyote vile. Mtu bado huamua nani anaweza kujiandikisha, hufunga kitambulisho kwa mtu sahihi, na hufanya uingizwaji uwezekane kifaa kinapopotea. Kununua ufunguo mpya hakubatilishi ule wa zamani.

Eleza sherehe ya kuingia kabla ya kuchagua maunzi: je, mtumiaji anaandika msimbo, anafungua ufunguo wa kutia saini, au anaidhinisha ombi la kivinjari? Kila jibu linamaanisha mteja tofauti, mpangilio tofauti wa lango na maandishi tofauti kwa dawati la usaidizi.

Mitiririko inatofautiana wapi kwa vitendo

Tokeni ya msimbo ni rahisi zaidi kusambaza na dhaifu zaidi dhidi ya ukurasa wa kuiga unaoshawishi, kwa sababu msimbo ulioandikwa unaweza kupitishwa kwa wakati halisi. Ufunguo wenye cheti hupinga aina hiyo ya shambulizi na hugharimu zaidi kuendesha, kwa kuwa utoaji na ubatilishaji huwa sehemu ya huduma. Ufunguo wa FIDO huenda pamoja na kuingia kwa wavuti na hutegemea kabisa kama mtoa utambulisho anauunga mkono kwa programu hii.

Mazingira mchanganyiko ni ya kawaida, na si makosa kiotomatiki: cheti kwa handaki pamoja na tokeni ya msimbo kwa konsoli ya utawala ni mgawanyo thabiti, mradi vyote viwili vimesajiliwa dhidi ya utambulisho mmoja. Kinachovunjika ni mgawanyo ambao hakuna aliyekiuandika, ambapo dawati la usaidizi haliwezi kusema ni kipengele gani mtumiaji hana.

Fanya uamuzi uwe wa vitendo

Andika sherehe kama mfululizo wa hatua ambazo mtumiaji halisi hufanya, kisha angalia kwamba mteja, lango na mtoa utambulisho wote wanaunga mkono mfululizo huo. Kutokulingana kwa kawaida huonekana katika hatua ya mwisho, ambapo mteja hawezi kabisa kushughulikia kifaa.

Kisha thibitisha kinachotokea kifaa kinapopotea au cheti kinapoisha. Ikiwa jibu hilo halijaandikwa, usambazaji una pengo ambalo litagunduliwa asubuhi ya Jumatatu.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert