டோக்கன் குறியீடு, ஸ்மார்ட் கார்டு அல்லது FIDO விசை: VPN எதை ஏற்கிறது

ஒரே இணைப்பி மற்றும் ஒரே விசை வளையம் கொண்ட மூன்று சாதனங்கள் ஒன்றோடொன்று தொடர்பில்லாத மூன்று பரிமாற்றங்களில் பங்கேற்கின்றன. ஒன்று சேவையகம் சரிபார்க்கும் குறியீட்டைக் காட்டுகிறது, மற்றொன்று சாதனத்தை விட்டு வெளியேறாத விசையால் கையொப்பமிடுகிறது, மூன்றாவது அதன் சொந்த நெறிமுறை மூலம் உலாவி உள்நுழைவை அனுமதிக்கிறது. எனவே VPN சான்றிதழ்களைப் பயன்படுத்த வேண்டுமா அல்லது வன்பொருள் டோக்கன்களையா என்ற கேள்வி ஒரு வடிவமைப்பை சாதன வகையுடன் ஒப்பிடுகிறது. பதில் நீங்கள் உண்மையில் மூன்றில் எதை வாங்கினீர்கள் என்பதைப் பொறுத்தது.

சாதனத்திற்கு முன் சான்றுக்குப் பெயரிடுங்கள்

ஒரு முறை குறியீட்டு டோக்கன் ஒரு மதிப்பை உருவாக்குகிறது, அதை அங்கீகார சேவை அதன் சொந்த முறையில் சரிபார்க்கிறது. VPN அந்த சேவையை RADIUS அல்லது கூட்டாட்சி அடையாள வழங்குநர் மூலம் அடையலாம், மேலும் டோக்கன் சுரங்கத்திற்கே சொந்தமான எதையும் வைத்திருக்க வேண்டியதில்லை. அது நிரூபிப்பது என்னவென்றால் நபர் குறியீட்டை உருவாக்கும் சாதனத்தை வைத்திருக்கிறார். குறியீடு தட்டச்சு செய்யப்பட்ட இயந்திரத்தைப் பற்றி எதையும் நிரூபிக்கவில்லை.

ஸ்மார்ட் கார்டு வகை டோக்கன் தனிப்பட்ட விசையைச் சேமித்து கோரிக்கையின் போது கையொப்பமிடும் செயலைச் செய்கிறது, இவ்வாறு விசையை ஏற்றுமதி செய்யாமல் சான்றிதழ் அடையாளம் நிரூபிக்கப்படுகிறது. அதன் அருகிலுள்ள சான்றிதழ் பொது பொருள், அந்த சான்றிதழை வழங்குவது விசையை வழங்குவதிலிருந்து முற்றிலும் வேறுபட்ட செயல்.

FIDO விசை மீண்டும் மூன்றாவது நெறிமுறையில் பேசுகிறது. உலாவி அடிப்படையிலான உள்நுழைவு அதை அடையாள வழங்குநரிடம் பயன்படுத்தலாம், ஆனால் அந்த இணையதளத்தில் வெற்றி என்பது அதே விசை VPN வாடிக்கையாளரின் ஸ்மார்ட் கார்டு இடைமுகம் வழியாகத் தோன்றும் என்று பொருள் அல்ல.

சில சாதனங்கள் இந்த பயன்பாடுகளில் பலவற்றை ஒன்றாகச் செயல்படுத்துகின்றன, உற்பத்தியாளரின் ஆவணங்கள் முறைகளைத் தனித்தனியாக பட்டியலிடுவதற்குக் காரணம் அதுவே. சந்தையில் உள்ள ஒவ்வொரு விசையும் ஒவ்வொரு முறையையும் ஆதரிக்கிறது என்பதற்கு இது சான்று அல்ல.

வன்பொருள் விசையைப் பாதுகாக்கிறது, கொள்கையை அல்ல

சான்றிதழ் கொண்ட சாதனத்தில் உள்ள PIN பொதுவாக விசையின் உள்ளூர் பயன்பாட்டை அனுமதிக்கிறது, அது VPN கணக்கு அமைப்பு சரிபார்க்கும் கடவுச்சொல் அல்ல. அங்கீகரிப்பாளர்கள் குறித்த NIST வழிகாட்டுதல் போன்ற வழிகாட்டுதல்கள் அந்த உள்ளூர் உள்ளீட்டை செயல்படுத்தல் ரகசியம் என்கின்றன, அது அங்கீகரிப்பாளரிலிருந்து வேறுபட்டது. உறுதி முழு வடிவமைப்பிலிருந்து வருகிறது, திரையில் உள்ள கோரிக்கைகளின் எண்ணிக்கையிலிருந்து அல்ல.

பதிவு, புதுப்பித்தல் மற்றும் நீக்கம் எந்த நிலையிலும் அடையாள உரிமையாளரிடமே இருக்கும். யார் பதிவு செய்யலாம் என்பதை இன்னமும் ஒருவர் தீர்மானிக்கிறார், சான்றுகளை சரியான நபருடன் இணைக்கிறார், சாதனம் தொலைந்தால் மாற்றீட்டை சாத்தியமாக்குகிறார். புதிய விசை வாங்குவது பழையதை ரத்து செய்யாது.

வன்பொருளைத் தேர்ந்தெடுப்பதற்கு முன் உள்நுழைவு சடங்கை விவரிக்கவும்: பயனர் குறியீட்டைத் தட்டச்சு செய்கிறாரா, கையொப்ப விசையைத் திறக்கிறாரா, அல்லது உலாவி கோரிக்கையை அனுமதிக்கிறாரா? ஒவ்வொரு பதிலும் வேறு வாடிக்கையாளர், வேறு நுழைவாயில் அமைப்பு மற்றும் உதவி மையத்திற்கு வேறு ஸ்கிரிப்டைக் குறிக்கிறது.

நடைமுறையில் ஓட்டங்கள் எங்கு பிரிகின்றன

குறியீட்டு டோக்கன் தொடங்குவது மிக எளிது மற்றும் நம்பத்தகுந்த போலி பக்கத்திற்கு எதிராக மிகவும் பலவீனமானது, ஏனெனில் தட்டச்சு செய்த குறியீட்டை நேரடி நேரத்தில் அனுப்ப முடியும். சான்றிதழ் கொண்ட விசை அந்த வகை தாக்குதலை எதிர்க்கிறது மற்றும் இயக்க அதிக செலவாகும், ஏனெனில் வழங்குதல் மற்றும் ரத்து சேவையின் பகுதியாகின்றன. FIDO விசை இணைய உள்நுழைவுடன் இருக்கிறது மற்றும் இந்த பயன்பாட்டிற்கு அடையாள வழங்குநர் அதை ஆதரிக்கிறாரா என்பதை முழுமையாக சார்ந்துள்ளது.

கலப்பு சூழல்கள் பொதுவானவை, அவை தானாகவே தவறானவை அல்ல: சுரங்கத்திற்கு சான்றிதழ் மற்றும் நிர்வாக பணியகத்திற்கு குறியீட்டு டோக்கன் என்பது இரண்டும் ஒரே அடையாளத்திற்கு எதிராக பதிவு செய்யப்பட்டிருந்தால் ஒத்திசைவான பிரிவு. உடைவது என்பது யாரும் ஆவணப்படுத்தாத பிரிவுதான், அங்கு உதவி மையம் பயனருக்கு எந்த காரணி இல்லை என்று சொல்ல முடியாது.

முடிவை உறுதியானதாக்குங்கள்

உண்மையான பயனர் செய்யும் படிகளின் வரிசையாக சடங்கை எழுதுங்கள், பின்னர் வாடிக்கையாளர், நுழைவாயில் மற்றும் அடையாள வழங்குநர் அனைவரும் அந்த வரிசையை ஆதரிக்கின்றனரா என்பதைச் சரிபார்க்கவும். பொருந்தாமை பொதுவாக கடைசி படியில் தோன்றும், வாடிக்கையாளர் சாதனத்தை அணுகவே முடியாதபோது.

பின்னர் சாதனம் தொலைந்தால் அல்லது சான்றிதழ் காலாவதியானால் என்ன நடக்கிறது என்பதை உறுதிப்படுத்துங்கள். அந்த பதில் எழுதப்படவில்லை என்றால், பயன்பாட்டில் திங்கள் காலையில் கண்டறியப்படும் இடைவெளி உள்ளது.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert