Mã token, thẻ thông minh hay khóa FIDO: VPN chấp nhận điều gì

Ba thiết bị có cùng đầu nối và cùng vòng đeo khóa tham gia vào ba cuộc trao đổi không liên quan. Một thiết bị hiển thị mã mà máy chủ kiểm tra, một thiết bị ký bằng khóa không bao giờ rời khỏi thiết bị, và một thiết bị phê duyệt đăng nhập từ trình duyệt qua giao thức riêng của nó. Vì vậy, câu hỏi VPN nên dùng chứng chỉ hay token phần cứng là so sánh một định dạng với một lớp thiết bị. Câu trả lời phụ thuộc vào việc bạn thực sự đã mua cái nào trong ba loại.

Gọi tên bằng chứng trước thiết bị

Token mã dùng một lần tạo ra một giá trị mà dịch vụ xác thực kiểm tra bằng cơ chế riêng của nó. VPN có thể đến dịch vụ đó qua RADIUS hoặc một nhà cung cấp danh tính liên bang, và token không bao giờ cần giữ thứ gì thuộc về chính đường hầm. Điều nó chứng minh là người đó đang giữ thiết bị tạo ra mã. Nó không chứng minh gì về chiếc máy nơi mã được gõ.

Token kiểu thẻ thông minh lưu một khóa riêng và thực hiện thao tác ký khi được yêu cầu, đó là cách chứng minh danh tính chứng chỉ mà không xuất khóa. Chứng chỉ bên cạnh là vật liệu công khai, và trao chứng chỉ đó là hành động rất khác với trao khóa.

Khóa FIDO lại nói một giao thức thứ ba. Đăng nhập từ trình duyệt có thể dùng nó tại nhà cung cấp danh tính, nhưng thành công trên trang đó không có nghĩa là cùng khóa đó sẽ xuất hiện qua giao diện thẻ thông minh của một ứng dụng VPN.

Một số thiết bị triển khai nhiều ứng dụng này song song, và tài liệu của nhà sản xuất liệt kê các chế độ riêng chính vì lý do đó. Đó không phải bằng chứng rằng mọi khóa trên thị trường hỗ trợ mọi chế độ.

Phần cứng bảo vệ khóa, không bảo vệ chính sách

PIN trên thiết bị có chứng chỉ thường cho phép sử dụng khóa cục bộ, và nó không phải mật khẩu mà hệ thống tài khoản VPN kiểm tra. Các hướng dẫn như hướng dẫn của NIST về bộ xác thực gọi đầu vào cục bộ đó là bí mật kích hoạt, khác với chính bộ xác thực. Sự đảm bảo đến từ toàn bộ thiết kế, không phải từ số lời nhắc trên màn hình.

Đăng ký, gia hạn và gỡ bỏ vẫn thuộc về chủ sở hữu danh tính trong mọi trường hợp. Ai đó vẫn quyết định ai được đăng ký, gắn thông tin xác thực với đúng người và cho phép thay thế khi thiết bị bị mất. Mua khóa mới không thu hồi khóa cũ.

Mô tả nghi thức đăng nhập trước khi chọn phần cứng: người dùng gõ mã, mở khóa ký, hay phê duyệt lời nhắc của trình duyệt? Mỗi câu trả lời ngụ ý một ứng dụng khác, một thiết lập cổng khác và một kịch bản khác cho bộ phận hỗ trợ.

Các luồng khác nhau ở đâu trong thực tế

Token mã là loại dễ triển khai nhất và yếu nhất trước một trang giả mạo thuyết phục, vì mã đã gõ có thể được chuyển tiếp trong thời gian thực. Khóa có chứng chỉ chống lại loại tấn công đó và tốn kém hơn để vận hành, vì việc cấp và thu hồi trở thành một phần của dịch vụ. Khóa FIDO gắn với đăng nhập web và phụ thuộc hoàn toàn vào việc nhà cung cấp danh tính có hỗ trợ nó cho ứng dụng này hay không.

Môi trường hỗn hợp là phổ biến và không tự động sai: chứng chỉ cho đường hầm cộng token mã cho bảng điều khiển quản trị là một cách phân chia nhất quán, miễn là cả hai đều được đăng ký với cùng một danh tính. Điều bị phá vỡ là sự phân chia không ai ghi lại, khi bộ phận hỗ trợ không thể nói người dùng thiếu yếu tố nào.

Hãy cụ thể hóa quyết định

Viết nghi thức như một chuỗi bước mà người dùng thực hiện, sau đó kiểm tra rằng ứng dụng, cổng và nhà cung cấp danh tính đều hỗ trợ chuỗi đó. Sự không khớp thường xuất hiện ở bước cuối, khi ứng dụng hoàn toàn không thể truy cập thiết bị.

Sau đó xác nhận điều gì xảy ra khi thiết bị bị mất hoặc chứng chỉ hết hạn. Nếu câu trả lời đó không được viết ra, việc triển khai có một lỗ hổng sẽ được phát hiện vào sáng thứ Hai.

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert