รหัสโทเคน สมาร์ตการ์ด หรือกุญแจ FIDO: VPN ยอมรับอะไร

อุปกรณ์สามชิ้นที่มีขั้วต่อเดียวกันและมีวงแหวนกุญแจเดียวกันเข้าร่วมการแลกเปลี่ยนสามอย่างที่ไม่เกี่ยวข้องกัน ชิ้นหนึ่งแสดงรหัสที่เซิร์ฟเวอร์ตรวจสอบ อีกชิ้นลงนามด้วยกุญแจที่ไม่เคยออกจากอุปกรณ์ และชิ้นที่สามอนุมัติการลงชื่อเข้าใช้จากเบราว์เซอร์ผ่านโปรโตคอลของตัวเอง ดังนั้นคำถามที่ว่า VPN ควรใช้ใบรับรองหรือโทเคนฮาร์ดแวร์จึงเป็นการเปรียบเทียบรูปแบบกับประเภทของอุปกรณ์ คำตอบขึ้นอยู่กับว่าคุณซื้ออะไรจากสามอย่างนี้จริง ๆ

ตั้งชื่อหลักฐานก่อนตัวอุปกรณ์

โทเคนรหัสแบบใช้ครั้งเดียวสร้างค่าที่บริการตรวจสอบสิทธิ์ตรวจสอบด้วยกลไกของตัวเอง VPN สามารถเข้าถึงบริการนั้นผ่าน RADIUS หรือผู้ให้บริการระบุตัวตนแบบสหพันธ์ และโทเคนไม่จำเป็นต้องเก็บสิ่งที่เป็นของอุโมงค์เองเลย สิ่งที่มันพิสูจน์คือบุคคลนั้นถืออุปกรณ์ที่สร้างรหัส มันไม่ได้พิสูจน์อะไรเกี่ยวกับเครื่องที่พิมพ์รหัสนั้น

โทเคนแบบสมาร์ตการ์ดเก็บกุญแจส่วนตัวและดำเนินการลงนามเมื่อมีการร้องขอ นี่คือวิธีพิสูจน์ตัวตนของใบรับรองโดยไม่ต้องส่งออกกุญแจ ใบรับรองที่อยู่ข้าง ๆ เป็นวัสดุสาธารณะ และการมอบใบรับรองนั้นเป็นการกระทำที่ต่างจากการมอบกุญแจอย่างสิ้นเชิง

กุญแจ FIDO พูดโปรโตคอลที่สามอีกครั้ง การลงชื่อเข้าใช้ผ่านเบราว์เซอร์สามารถใช้มันกับผู้ให้บริการระบุตัวตนได้ แต่ความสำเร็จบนเว็บไซต์นั้นไม่ได้หมายความว่ากุญแจเดียวกันจะปรากฏผ่านอินเทอร์เฟซสมาร์ตการ์ดของไคลเอนต์ VPN

อุปกรณ์บางรุ่นใช้งานแอปพลิเคชันเหล่านี้หลายอย่างเคียงกัน และเอกสารของผู้ผลิตรระบุโหมดแยกกันด้วยเหตุนี้เอง นั่นไม่ใช่หลักฐานว่ากุญแจทุกตัวในตลาดรองรับทุกโหมด

ฮาร์ดแวร์ปกป้องกุญแจ ไม่ใช่นโยบาย

PIN บนอุปกรณ์ที่มีใบรับรองมักอนุญาตการใช้กุญแจในเครื่อง และมันไม่ใช่รหัสผ่านที่ระบบบัญชี VPN ตรวจสอบ แนวทางอย่าง แนวทางของ NIST เกี่ยวกับตัวตรวจสอบสิทธิ์ เรียกการป้อนในเครื่องนั้นว่าความลับในการเปิดใช้งาน ซึ่งแยกจากตัวตรวจสอบสิทธิ์เอง ความมั่นใจมาจากการออกแบบทั้งหมด ไม่ใช่จากจำนวนข้อความบนหน้าจอ

การลงทะเบียน การต่ออายุ และการถอดออกยังคงอยู่กับเจ้าของตัวตนไม่ว่ากรณีใด มีคนตัดสินใจว่าใครลงทะเบียนได้ ผูกข้อมูลรับรองกับบุคคลที่ถูกต้อง และทำให้การเปลี่ยนทดแทนเป็นไปได้เมื่ออุปกรณ์หาย การซื้อกุญแจใหม่ไม่ได้เพิกถอนอันเก่า

อธิบายพิธีการลงชื่อเข้าใช้ก่อนเลือกฮาร์ดแวร์ ผู้ใช้พิมพ์รหัส ปลดล็อกกุญแจลงนาม หรืออนุมัติข้อความจากเบราว์เซอร์ ทุกคำตอบหมายถึงไคลเอนต์ที่ต่างกัน การตั้งค่าเกตเวย์ที่ต่างกัน และสคริปต์ที่ต่างกันสำหรับศูนย์ช่วยเหลือ

โฟลว์แยกจากกันตรงไหนในการปฏิบัติ

โทเคนรหัสเป็นสิ่งที่ติดตั้งง่ายที่สุดและอ่อนแอที่สุดต่อหน้าการปลอมที่ชวนเชื่อ เพราะรหัสที่พิมพ์สามารถส่งต่อได้แบบเรียลไทม์ กุญแจที่มีใบรับรองต้านทานการโจมตีประเภทนั้นและมีต้นทุนการดำเนินงานสูงกว่า เพราะการออกและการเพิกถอนกลายเป็นส่วนหนึ่งของบริการ กุญแจ FIDO อยู่กับการลงชื่อเข้าใช้เว็บและขึ้นอยู่กับว่าผู้ให้บริการระบุตัวตนรองรับมันสำหรับแอปพลิเคชันนี้หรือไม่ทั้งหมด

สภาพแวดล้อมแบบผสมเป็นเรื่องปกติ และไม่ผิดโดยอัตโนมัติ ใบรับรองสำหรับอุโมงค์บวกโทเคนรหัสสำหรับคอนโซลผู้ดูแลเป็นการแบ่งที่สอดคล้องกัน หากทั้งสองลงทะเบียนกับตัวตนเดียวกัน สิ่งที่พังคือการแบ่งที่ไม่มีใครบันทึกไว้ ซึ่งศูนย์ช่วยเหลือไม่สามารถบอกได้ว่าผู้ใช้ขาดปัจจัยใด

ทำให้การตัดสินใจเป็นรูปธรรม

เขียนพิธีการเป็นลำดับขั้นตอนที่ผู้ใช้จริงทำ แล้วตรวจสอบว่าไคลเอนต์ เกตเวย์ และผู้ให้บริการระบุตัวตนรองรับลำดับนั้นทั้งหมด ความไม่ตรงกันมักปรากฏในขั้นตอนสุดท้าย ซึ่งไคลเอนต์ไม่สามารถเข้าถึงอุปกรณ์ได้เลย

จากนั้นยืนยันว่าเกิดอะไรขึ้นเมื่ออุปกรณ์หายหรือใบรับรองหมดอายุ หากคำตอบนั้นไม่ได้เขียนไว้ การติดตั้งมีการขาดตอนที่จะถูกค้นพบในเช้าวันจันทร์

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert