Kod tokeni, smart karta yoki FIDO kaliti: VPN nima qabul qiladi

Bir xil ulagich va bir xil kalit halqasiga ega uchta qurilma bir-biriga bog'liq bo'lmagan uchta almashinuvda qatnashadi. Biri server tekshiradigan kodni ko'rsatadi, ikkinchisi qurilmadan hech qachon chiqmaydigan kalit bilan imzo qo'yadi, uchinchisi esa o'z protokoli orqali brauzerdan kirishni tasdiqlaydi. Shuning uchun VPN sertifikat yoki apparat tokenlaridan foydalanishi kerakmi degan savol formatni qurilmalar sinfi bilan taqqoslaydi. Javob uchdan qaysi birini haqiqatan sotib olganingizga bog'liq.

Qurilmadan oldin dalilni nomlang

Bir martalik kod tokeni autentifikatsiya xizmati o'z mexanizmi bilan tekshiradigan qiymat yaratadi. VPN bu xizmatga RADIUS yoki federativ identifikatsiya provayderi orqali yetib borishi mumkin, va token hech qachon tunnelning o'ziga tegishli narsani saqlashi shart emas. U inson kodni yaratadigan qurilmani ushlab turishini isbotlaydi. Kod terilgan mashina haqida hech narsani isbotlamaydi.

Smart karta uslubidagi token shaxsiy kalitni saqlaydi va so'rov bo'yicha imzolash amalini bajaradi, shu tarzda sertifikat identifikatsiyasi kalitni eksport qilmasdan isbotlanadi. Yonidagi sertifikat ommaviy material, va o'sha sertifikatni berish kalitni berishdan butunlay boshqa harakat.

FIDO kaliti yana uchinchi protokolda gaplashadi. Brauzerdan kirish uni identifikatsiya provayderida ishlatishi mumkin, ammo o'sha saytdagi muvaffaqiyat xuddi shu kalit VPN mijozi smart karta interfeysi orqali ko'rinadi degani emas.

Ba'zi qurilmalar bu ilovalardan bir nechtasini yonma-yon amalga oshiradi, va sotuvchi hujjatlari rejimlarni aynan shu sababdan alohida sanaydi. Bu bozordagi har bir kalit har bir rejimni qo'llab-quvvatlaydi degan dalil emas.

Apparat kalitni himoya qiladi, siyosatni emas

Sertifikatli qurilmadagi PIN odatda kalitdan mahalliy foydalanishga ruxsat beradi, va bu VPN hisob tizimi tekshiradigan parol emas. NISTning autentifikatorlar haqidagi yo'riqnomasi kabi yo'riqnomalar bu mahalliy kiritishni faollashtirish siri deb ataydi, u autentifikatorning o'zidan farq qiladi. Ishonch butun dizayndan keladi, ekrandagi so'rovlar sonidan emas.

Ro'yxatdan o'tish, yangilash va olib tashlash har qanday holatda identifikatsiya egasida qoladi. Kimdir hali ham kim ro'yxatdan o'tishi mumkinligini hal qiladi, guvohnomani to'g'ri shaxsga bog'laydi va qurilma yo'qolganda almashtirishni mumkin qiladi. Yangi kalit sotib olish eskisini bekor qilmaydi.

Apparat tanlashdan oldin kirish marosimini ta'riflang: foydalanuvchi kod teradimi, imzolash kalitini ochadimi yoki brauzer so'rovini tasdiqlaydimi? Har bir javob boshqa mijoz, boshqa shlyuz sozlamasi va yordam xizmati uchun boshqa ssenariyni bildiradi.

Oqimlar amalda qayerda ajraladi

Kod tokenini joriy etish eng oson va ishonarli soxta sahifaga qarshi eng zaif, chunki terilgan kodni real vaqtda uzatish mumkin. Sertifikatli kalit bu hujum turiga qarshi turadi va uni boshqarish qimmatroq, chunki berish va bekor qilish xizmatning qismiga aylanadi. FIDO kaliti veb-kirish bilan birga turadi va identifikatsiya provayderi uni bu ilova uchun qo'llab-quvvatlashiga to'liq bog'liq.

Aralash muhitlar keng tarqalgan va ular avtomatik ravishda xato emas: tunnel uchun sertifikat va ma'muriy konsol uchun kod tokeni izchil bo'linishdir, agar ikkalasi ham bir identifikatsiyaga ro'yxatdan o'tgan bo'lsa. Buziladigan narsa hech kim hujjatlashtirmagan bo'linishdir, u yerda yordam xizmati foydalanuvchiga qaysi omil yetishmayotganini ayta olmaydi.

Qarorni aniq qiling

Marosimni haqiqiy foydalanuvchi bajaradigan qadamlar ketma-ketligi sifatida yozing, so'ngra mijoz, shlyuz va identifikatsiya provayderi barchasi shu ketma-ketlikni qo'llab-quvvatlashini tekshiring. Nomuvofiqlik odatda oxirgi qadamda ko'rinadi, mijoz qurilmaga umuman murojaat qila olmaganda.

So'ngra qurilma yo'qolganda yoki sertifikat muddati tugaganda nima bo'lishini tasdiqlang. Agar bu javob yozilmagan bo'lsa, joriy etishda dushanba kuni ertalab topiladigan bo'shliq bor.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert