Kod token, akıllı kart veya FIDO anahtarı: bir VPN neyi kabul eder

Aynı bağlantıya ve aynı anahtarlık halkasına sahip üç cihaz, birbiriyle ilgisiz üç alışverişe katılır. Biri sunucunun denetlediği bir kod gösterir, biri cihazdan asla çıkmayan bir anahtarla imzalar, biri de kendi protokolüyle tarayıcı oturum açma isteğini onaylar. Bu nedenle bir VPN'in sertifika mı yoksa donanım token'ı mı kullanması gerektiği sorusu, bir biçimi bir cihaz sınıfıyla karşılaştırır. Yanıt, üçünden hangisini gerçekten satın aldığınıza bağlıdır.

Kanıtı cihazdan önce adlandırın

Tek kullanımlık kod token'ı, bir kimlik doğrulama hizmetinin kendi mekanizmasıyla doğruladığı bir değer üretir. VPN o hizmete RADIUS veya birleşik bir kimlik sağlayıcı üzerinden ulaşabilir ve token hiçbir zaman tünelin kendisine ait bir şeyi tutmak zorunda değildir. Kanıtladığı şey, kişinin kodu üreten cihazı elinde tuttuğudur. Kodun yazıldığı makine hakkında hiçbir şey kanıtlamaz.

Akıllı kart tarzı bir token özel anahtar saklar ve istendiğinde imzalama işlemini yürütür, sertifika kimliği böylece anahtar dışa aktarılmadan kanıtlanır. Yanındaki sertifika kamuya açık malzemedir ve o sertifikayı teslim etmek anahtarı teslim etmekten çok farklı bir eylemdir.

FIDO anahtarı yine üçüncü bir protokol konuşur. Tarayıcıdan oturum açma onu kimlik sağlayıcıda kullanabilir, ancak o sitedeki başarı aynı anahtarın bir VPN istemcisinin akıllı kart arayüzünde görüneceği anlamına gelmez.

Bazı cihazlar bu uygulamaların birkaçını yan yana uygular ve satıcı belgeleri kiplerini tam da bu nedenle ayrı ayrı listeler. Piyasadaki her anahtarın her kipi desteklediğinin kanıtı değildir.

Donanım anahtarı korur, politikayı değil

Sertifikayla desteklenen bir cihazdaki PIN genellikle anahtarın yerel kullanımına izin verir ve VPN hesap sisteminin denetlediği parola değildir. NIST'in doğrulayıcılara ilişkin kılavuzu gibi kılavuzlar bu yerel girişi, doğrulayıcının kendisinden ayrı olarak etkinleştirme sırrı diye adlandırır. Güvence ekrandaki istem sayısından değil, bütün tasarımdan gelir.

Kayıt, yenileme ve kaldırma her durumda kimlik sahibinde kalır. Birileri hâlâ kimin kayıt olabileceğine karar verir, kimlik bilgisini doğru kişiye bağlar ve cihaz kaybolduğunda değişimi mümkün kılar. Yeni anahtar almak eskisini iptal etmez.

Donanım seçmeden önce oturum açma törenini tanımlayın: kullanıcı bir kod mu yazıyor, bir imzalama anahtarını mı açıyor yoksa tarayıcı istemini mi onaylıyor? Her yanıt farklı bir istemci, farklı bir geçit ayarı ve yardım masası için farklı bir senaryo anlamına gelir.

Akışlar pratikte nerede ayrışır

Kod token'ı kurulumu en kolay olan ve ikna edici sahte sayfaya karşı en zayıf olandır, çünkü yazılan kod gerçek zamanlı aktarılabilir. Sertifikayla desteklenen anahtar bu saldırı sınıfına dayanır ve işletmesi daha pahalıdır, çünkü verme ve iptal etme hizmetin parçası olur. FIDO anahtarı web oturum açmayla birlikte durur ve tamamen kimlik sağlayıcının bunu bu uygulama için destekleyip desteklemediğine bağlıdır.

Karma ortamlar yaygındır ve otomatik olarak yanlış değildir: tünel için sertifika artı yönetim konsolu için kod token'ı tutarlı bir ayrımdır, yeter ki ikisi de aynı kimliğe kayıtlı olsun. Bozulan şey, kimsenin belgelemediği ayrımdır; yardım masası kullanıcının hangi etkeninin eksik olduğunu söyleyemez.

Kararı somutlaştırın

Töreni gerçek bir kullanıcının yaptığı adımlar dizisi olarak yazın, ardından istemcinin, geçidin ve kimlik sağlayıcının hepsinin bu diziyi desteklediğini doğrulayın. Uyuşmazlık genellikle son adımda ortaya çıkar; istemci cihaza hiç hitap edemez.

Sonra cihaz kaybolduğunda veya sertifikanın süresi dolduğunda ne olacağını doğrulayın. Bu yanıt yazılı değilse, dağıtımda pazartesi sabahı keşfedilecek bir boşluk var.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert