Кодовий токен, смарт-картка чи ключ FIDO: що приймає VPN

Три пристрої з однаковим роз'ємом і однаковим кільцем для ключів беруть участь у трьох непов'язаних обмінах. Один показує код, який перевіряє сервер, другий підписує ключем, що ніколи не залишає пристрій, а третій підтверджує вхід із браузера за власним протоколом. Тому питання, чи варто VPN використовувати сертифікати або апаратні токени, порівнює формат із класом пристроїв. Відповідь залежить від того, який із трьох ви насправді купили.

Назвіть доказ до пристрою

Одноразовий кодовий токен створює значення, яке служба автентифікації перевіряє власним механізмом. VPN може дістатися до цієї служби через RADIUS або федеративного постачальника ідентичності, і токену ніколи не потрібно зберігати щось, що належить самому тунелю. Він доводить, що людина тримає пристрій, який генерує код. Про машину, на якій було набрано код, він не доводить нічого.

Токен у вигляді смарт-картки зберігає закритий ключ і виконує операцію підпису на запит, саме так посвідчення сертифіката доводиться без експорту ключа. Сертифікат поруч із ним є публічним матеріалом, і передати цей сертифікат — зовсім інша дія, ніж передати ключ.

Ключ FIDO говорить уже третім протоколом. Вхід із браузера може використовувати його в постачальника ідентичності, але успіх на цьому сайті не означає, що той самий ключ з'явиться через інтерфейс смарт-картки клієнта VPN.

Деякі пристрої реалізують кілька таких застосунків поряд, і документація виробника перелічує режими окремо саме тому. Це не доказ того, що кожен ключ на ринку підтримує кожен режим.

Апаратура захищає ключ, а не політику

PIN на пристрої з сертифікатом зазвичай дозволяє локальне використання ключа, і це не той пароль, який перевіряє система облікових записів VPN. Настанови на кшталт настанови NIST щодо автентифікаторів називають таке локальне введення секретом активації, відмінним від самого автентифікатора. Гарантія походить із усього дизайну, а не з кількості запитів на екрані.

Реєстрація, поновлення та видалення в будь-якому разі залишаються у власника ідентичності. Хтось досі вирішує, кому можна реєструватися, прив'язує облікові дані до потрібної людини й уможливлює заміну, коли пристрій втрачено. Купівля нового ключа не відкликає старий.

Опишіть церемонію входу до вибору апаратури: користувач вводить код, розблоковує ключ підпису або підтверджує запит браузера? Кожна відповідь означає інший клієнт, інше налаштування шлюзу та інший сценарій для служби підтримки.

Де на практиці розходяться процеси

Кодовий токен найлегше розгорнути, і він найслабший проти переконливої підробленої сторінки, бо набраний код можна передати в реальному часі. Ключ із сертифікатом протистоїть цьому класу атак і дорожчий в експлуатації, оскільки видача й відкликання стають частиною служби. Ключ FIDO стоїть поруч із вебвходом і повністю залежить від того, чи підтримує його постачальник ідентичності для цього застосунку.

Змішані середовища звичайні й не є автоматично помилкою: сертифікат для тунелю плюс кодовий токен для адміністративної консолі — це цілісний поділ, за умови що обидва зареєстровані на одну ідентичність. Ламається той поділ, який ніхто не задокументував, коли служба підтримки не може сказати, якого чинника бракує користувачеві.

Зробіть рішення конкретним

Запишіть церемонію як послідовність кроків, які виконує реальний користувач, а потім перевірте, що клієнт, шлюз і постачальник ідентичності всі підтримують цю послідовність. Невідповідність зазвичай виявляється на останньому кроці, коли клієнт взагалі не може звернутися до пристрою.

Потім підтвердьте, що відбувається, коли пристрій втрачено або сертифікат спливає. Якщо цю відповідь не записано, у розгортанні є прогалина, яка виявиться в понеділок уранці.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert