టోకెన్ కోడ్, స్మార్ట్ కార్డ్ లేదా FIDO కీ: VPN ఏమి అంగీకరిస్తుంది

ఒకే కనెక్టర్ మరియు ఒకే కీ రింగ్ ఉన్న మూడు పరికరాలు పరస్పరం సంబంధం లేని మూడు మార్పిడులలో పాల్గొంటాయి. ఒకటి సర్వర్ తనిఖీ చేసే కోడ్ను చూపిస్తుంది, మరొకటి పరికరాన్ని ఎప్పుడూ వదలని కీతో సంతకం చేస్తుంది, మూడవది తన స్వంత ప్రోటోకాల్ ద్వారా బ్రౌజర్ సైన్-ఇన్ను ఆమోదిస్తుంది. కాబట్టి VPN సర్టిఫికేట్లను లేదా హార్డ్వేర్ టోకెన్లను ఉపయోగించాలా అనే ప్రశ్న ఒక ఆకృతిని పరికర తరగతితో పోలుస్తుంది. సమాధానం మీరు నిజంగా మూడింటిలో ఏది కొన్నారనే దానిపై ఆధారపడి ఉంటుంది.

పరికరానికి ముందు రుజువును పేర్కొనండి

ఒకసారి కోడ్ టోకెన్ ఒక విలువను ఉత్పత్తి చేస్తుంది, దానిని ప్రామాణీకరణ సేవ తన స్వంత పద్ధతిలో ధృవీకరిస్తుంది. VPN ఆ సేవను RADIUS లేదా సమాఖ్య గుర్తింపు ప్రదాత ద్వారా చేరుకోగలదు, మరియు టోకెన్ సొరంగానికి చెందిన ఏదీ ఉంచుకోవాల్సిన అవసరం లేదు. అది నిరూపించేది ఏమిటంటే వ్యక్తి కోడ్ను ఉత్పత్తి చేసే పరికరాన్ని కలిగి ఉన్నారు. కోడ్ టైప్ చేసిన యంత్రం గురించి ఏమీ నిరూపించదు.

స్మార్ట్ కార్డ్ రకం టోకెన్ ప్రైవేట్ కీని నిల్వ చేసి అభ్యర్థనపై సంతకం చేసే చర్యను నిర్వహిస్తుంది, ఈ విధంగా కీని ఎగుమతి చేయకుండా సర్టిఫికేట్ గుర్తింపు నిరూపించబడుతుంది. దాని పక్కన ఉన్న సర్టిఫికేట్ బహిరంగ పదార్థం, ఆ సర్టిఫికేట్ను అప్పగించడం కీని అప్పగించడం కంటే పూర్తిగా భిన్నమైన చర్య.

FIDO కీ మళ్లీ మూడవ ప్రోటోకాల్లో మాట్లాడుతుంది. బ్రౌజర్ ఆధారిత సైన్-ఇన్ దానిని గుర్తింపు ప్రదాత వద్ద ఉపయోగించవచ్చు, కానీ ఆ వెబ్సైట్లో విజయం అదే కీ VPN క్లయింట్ యొక్క స్మార్ట్ కార్డ్ ఇంటర్ఫేస్ ద్వారా కనిపిస్తుందని అర్థం కాదు.

కొన్ని పరికరాలు ఈ అనువర్తనాలలో పలకను పక్కపక్కనే అమలు చేస్తాయి, తయారీదారు పత్రాలు మోడ్లను విడివిడిగా జాబితా చేయడానికి కారణం అదే. మార్కెట్లోని ప్రతి కీ ప్రతి మోడ్కు మద్దతు ఇస్తుందనడానికి ఇది రుజువు కాదు.

హార్డ్వేర్ కీని కాపాడుతుంది, విధానాన్ని కాదు

సర్టిఫికేట్ ఉన్న పరికరంలోని PIN సాధారణంగా కీ యొక్క స్థానిక వినియోగాన్ని అధికారం ఇస్తుంది, అది VPN ఖాతా వ్యవస్థ తనిఖీ చేసే పాస్వర్డ్ కాదు. ప్రామాణీకర్తల గురించి NIST మార్గదర్శకం వంటి మార్గదర్శకాలు ఆ స్థానిక ఇన్పుట్ను యాక్టివేషన్ రహస్యం అంటాయి, అది ప్రామాణీకర్త నుండి భిన్నం. భరోసా మొత్తం రూపకల్పన నుండి వస్తుంది, స్క్రీన్పై ఉన్న అభ్యర్థనల సంఖ్య నుండి కాదు.

నమోదు, పునరుద్ధరణ మరియు తీసివేత ఏ సందర్భంలోనైనా గుర్తింపు యజమాని వద్దే ఉంటాయి. ఎవరు నమోదు చేసుకోవచ్చో ఇంకా ఎవరో నిర్ణయిస్తారు, ఆధారాలను సరైన వ్యక్తికి కలుపుతారు, పరికరం పోయినప్పుడు భర్తీని సాధ్యం చేస్తారు. కొత్త కీ కొనడం పాతదాన్ని రద్దు చేయదు.

హార్డ్వేర్ను ఎంచుకునే ముందు సైన్-ఇన్ ఆచారాన్ని వివరించండి: వినియోగదారు కోడ్ టైప్ చేస్తారా, సంతకం కీని తెరుస్తారా, లేదా బ్రౌజర్ అభ్యర్థనను ఆమోదిస్తారా? ప్రతి సమాధానం వేరే క్లయింట్, వేరే గేట్వే సెట్టింగ్ మరియు సహాయ డెస్క్కు వేరే స్క్రిప్ట్ను సూచిస్తుంది.

ఆచరణలో ప్రవాహాలు ఎక్కడ విడిపోతాయి

కోడ్ టోకెన్ ప్రారంభించడం సులభమైనది మరియు నమ్మదగిన నకిలీ పేజీకి వ్యతిరేకంగా బలహీనమైనది, ఎందుకంటే టైప్ చేసిన కోడ్ను నిజ సమయంలో పంపవచ్చు. సర్టిఫికేట్ ఉన్న కీ ఆ రకమైన దాడిని ఎదిరిస్తుంది మరియు నిర్వహించడానికి ఎక్కువ ఖర్చు అవుతుంది, ఎందుకంటే జారీ మరియు రద్దు సేవలో భాగమవుతాయి. FIDO కీ వెబ్ సైన్-ఇన్తో ఉంటుంది మరియు ఈ అనువర్తనం కోసం గుర్తింపు ప్రదాత దానిని మద్దతిస్తుందా అన్నదానిపై పూర్తిగా ఆధారపడి ఉంటుంది.

మిశ్రమ వాతావరణాలు సాధారణం, అవి స్వయంచాలకంగా తప్పు కావు: సొరంగానికి సర్టిఫికేట్ మరియు పరిపాలన కన్సోల్కు కోడ్ టోకెన్ అనేది రెండూ ఒకే గుర్తింపుకు వ్యతిరేకంగా నమోదైతే సుసంగతమైన విభజన. విరిగేది ఎవరూ పత్రీకరించని విభజన, అక్కడ సహాయ డెస్క్ వినియోగదారుకు ఏ అంశం లేదో చెప్పలేదు.

నిర్ణయాన్ని మూర్తీభవించండి

నిజమైన వినియోగదారు చేసే దశల క్రమంగా ఆచారాన్ని రాయండి, ఆపై క్లయింట్, గేట్వే మరియు గుర్తింపు ప్రదాత అందరూ ఆ క్రమానికి మద్దతు ఇస్తున్నారా పరిశీలించండి. అసంగతి సాధారణంగా చివరి దశలో కనిపిస్తుంది, క్లయింట్ పరికరాన్ని అసలు చేరుకోలేనప్పుడు.

తర్వాత పరికరం పోయినప్పుడు లేదా సర్టిఫికేట్ గడువు ముగిసినప్పుడు ఏమి జరుగుతుందో నిర్ధారించండి. ఆ సమాధానం రాయబడకపోతే, అమలులో సోమవారం ఉదయం కనుగొనబడే లోపం ఉంది.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert