Token code, smart card o FIDO key: ano ang tinatanggap ng isang VPN

Tatlong device na may parehong connector at parehong keyring ang bahagi ng tatlong magkakaibang palitan. Ang isa ay nagpapakita ng code na sinusuri ng server, ang isa ay pumipirma gamit ang key na hindi kailanman lumalabas sa device, at ang pangatlo ay inaaprubahan ang pag-sign in sa browser sa pamamagitan ng sariling protocol. Kaya ang tanong kung dapat gumamit ng certificate o hardware token ang isang VPN ay naghahambing ng format sa isang klase ng device. Ang sagot ay nakasalalay sa kung alin sa tatlo ang aktwal na binili mo.

Pangalanan ang patunay bago ang device

Ang one-time code token ay gumagawa ng value na binibigyang-bisa ng authentication service sa sarili nitong mekanismo. Maaaring maabot ng VPN ang serbisyong iyon sa pamamagitan ng RADIUS o isang federated identity provider, at hindi kailanman kailangang maghawak ng token ng anumang bagay na pag-aari ng tunnel mismo. Ang pinatutunayan nito ay hawak ng tao ang device na gumagawa ng code. Wala itong pinatutunayan tungkol sa machine kung saan na-type ang code.

Ang token na parang smart card ay nag-iimbak ng private key at nagsasagawa ng signing operation kapag hiniling, at ganoon pinatutunayan ang certificate identity nang hindi inilalabas ang key. Ang certificate sa tabi nito ay pampublikong materyal, at ang pagbibigay ng certificate na iyon ay ibang-iba sa pagbibigay ng key.

Ang FIDO key ay nagsasalita ng pangatlong protocol. Maaaring gamitin ito ng pag-sign in sa browser sa identity provider, ngunit ang tagumpay sa site na iyon ay hindi nangangahulugang lalabas ang parehong key sa pamamagitan ng smart card interface ng isang VPN client.

Ang ilang device ay nagpapatupad ng marami sa mga application na ito nang magkatabi, at ang dokumentasyon ng vendor ay naglilista ng mga mode nang hiwalay dahil mismo doon. Hindi ito patunay na sinusuportahan ng bawat key sa merkado ang bawat mode.

Pinoprotektahan ng hardware ang key, hindi ang patakaran

Ang PIN sa device na may certificate ay karaniwang nagpapahintulot ng lokal na paggamit ng key, at hindi ito ang password na sinusuri ng VPN account system. Tinatawag ng mga gabay tulad ng ang mga gabay ng NIST tungkol sa authenticator na activation secret ang lokal na input na iyon, hiwalay sa authenticator mismo. Ang katiyakan ay nagmumula sa buong disenyo, hindi sa bilang ng mga prompt sa screen.

Ang enrollment, renewal at pag-alis ay nananatili sa may-ari ng identity sa anumang kaso. May nagpapasya pa rin kung sino ang maaaring mag-enroll, nag-uugnay ng credential sa tamang tao, at ginagawang posible ang pagpapalit kapag nawala ang device. Ang pagbili ng bagong key ay hindi binabawi ang luma.

Ilarawan ang seremonya ng pag-sign in bago pumili ng hardware: nagta-type ba ang user ng code, nag-a-unlock ng signing key, o nag-aapruba ng browser prompt? Bawat sagot ay nagpapahiwatig ng ibang client, ibang gateway setting at ibang script para sa help desk.

Saan nagkakaiba ang mga daloy sa praktika

Ang code token ang pinakamadaling i-deploy at pinakamahina laban sa kapani-paniwalang pekeng pahina, dahil ang na-type na code ay maaaring ipasa sa real time. Ang key na may certificate ay lumalaban sa ganoong uri ng atake at mas mahal patakbuhin, dahil ang pag-isyu at pagbawi ay nagiging bahagi ng serbisyo. Ang FIDO key ay kasama ng web sign in at ganap na nakadepende sa kung sinusuportahan ito ng identity provider para sa application na ito.

Karaniwan ang magkahalong kapaligiran, at hindi ito awtomatikong mali: ang certificate para sa tunnel at code token para sa administrative console ay magkakaugnay na paghahati, basta pareho silang nakarehistro sa parehong identity. Ang nasisira ay ang paghahati na walang naidokumento, kung saan hindi masabi ng help desk kung aling factor ang kulang sa isang user.

Gawing kongkreto ang desisyon

Isulat ang seremonya bilang sunod-sunod na hakbang na ginagawa ng tunay na user, pagkatapos ay tiyakin na sinusuportahan ng client, gateway at identity provider ang sunod-sunod na iyon. Karaniwang lumalabas ang mismatch sa huling hakbang, kung saan hindi kayang maabot ng client ang device.

Pagkatapos, tiyakin kung ano ang mangyayari kapag nawala ang device o nag-expire ang certificate. Kung hindi nakasulat ang sagot na iyon, may puwang sa deployment na matutuklasan sa isang umaga ng Lunes.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert