Utilizzo di un token hardware per l'accesso

Question

Sono nuovo sul tema della crittografia e sto studiando PKI e PKCS ecc. Comprendo il concetto di base di PKI e come viene utilizzato per la crittografia / decrittografia. Tuttavia, sono confuso su come un token hardware come un token USB o una smart card viene utilizzato per l'accesso sicuro al tuo computer. Ecco i passaggi che ho capito e la parte da cui sono confuso (scusate in anticipo per la lunghezza della domanda):

Scenario: il computer xyz sulla rete contiene dati a cui solo gli utenti appartenenti al gruppo SECRET possono accedere. Gli utenti Bob e Joe fanno parte di questo gruppo e sono stati emessi token USB che possono utilizzare per fornire credenziali che consentiranno loro di accedere a queste risorse. Il token USB utilizza un'autenticazione a due fattori e richiede l'inserimento di un pin. Il token è conforme a PKCS11.

1. Bob inserisce il token USB nella macchina Linux
2. Un modulo PAM-PKCS11 riconosce questo evento e richiede a Bob di inserire il suo pin.
3. Dopo che Bob ha inserito correttamente il suo PIN di 4 cifre, il modulo verifica la validità del certificato sul token di Bob con (questo varia, ma qual è il minimo?) :
   • Individuazione del certificato radice per verificare la presenza di una CA attendibile
   • Verifica delle date di validità del certificato e degli elenchi di revoca
   • ID corrispondenza sul token con il file utente (dove?, manca un passaggio) o directory (LDAP, ecc.)
4. Se tutto sembra a posto, il modulo informa PAM del risultato positivo.
5. Questa riga è etichettata sufficiente in modo che PAM accetti l'autenticazione e Bob abbia effettuato l'accesso e possa visualizzare le informazioni riservate agli utenti del gruppo SECRET.

La parte che mi manca è dove sono memorizzate le informazioni sull'opportunità o meno che Bob possa accedere a questa macchina e come è esattamente legato all'utente Bob (o anche desktop) della rete. Comprendo che altri dati identificativi su Bob verranno memorizzati su USB, incluso un ID (ad es. Indirizzo e-mail). Tuttavia, come è questa forte sicurezza? Dove viene utilizzata la crittografia durante il processo di accesso, se non (o non è questo il vero scopo di questi token)? Se qualcuno si impadronisce dell'USB e conosce il pin a 4 cifre, sembra tutto ciò che è necessario, giusto? Inoltre, è essenzialmente la fiducia nella CA che consente di fidarsi del fatto che un altro utente non può ottenere un nuovo token USB e utilizzare una CA affidabile per ottenere un nuovo certificato ma specificare che tutti i dati identificativi siano gli stessi di quelli di Bob? So che c'è una parte critica che mi manca .. ma dopo aver letto dozzine di articoli, la spiegazione di quest'area sembra essere stata cancellata. È una buona idea utilizzare un token hardware come mezzo sufficiente per l'autenticazione per accedere a una macchina contenente dati sensibili? O lo scopo di tali token è principalmente quello di archiviare in modo sicuro coppie di chiavi utilizzate in altre applicazioni? Grazie per l'aiuto!

Answer 1

PAM (come suggerisce il nome) gestisce solo l'autenticazione. L'autenticazione consiste nel provare chi è l'utente, ad esempio "Dimostrami chi sono chi dici di essere." Ciò è separato dall'autorizzazione, vale a dire " hai accesso a questa risorsa? & Quot ;.

Esistono tre aspetti dell'autenticazione:
1. Conosco
2. Ho
3. I Am

Una tipica combinazione nome utente / password si adatta al 1. Mentre un token, o un altro dispositivo PKCS, si adatta al 2, e la biometria come il riconoscimento dell'iride o la lettura delle impronte digitali si inserisce nel numero tre.

Più di questi aspetti hai nella tua sicurezza, migliore è la sicurezza. In questo caso il login si adatta a 1 e 2, quindi è più sicuro di un semplice nome utente e passowrd. Se qualcuno dovesse togliergli il perno e rubare il suo dispositivo, allora sì, non proverà che lo sta usando Bob. Ma nemmeno lo sarebbe se Bob desse il suo nome utente e la password a qualcuno.

Il punto del token è introdurre il secondo fattore di "avere" qualcosa, il fatto che sia necessario anche un PIN significa che " conoscere " qualcosa è anche richiesto. Quindi il sistema può quindi avere più fiducia che la persona è chi afferma di essere.

La parte mancante a cui ti riferisci è Autorizzazione come indicato è un processo separato di autenticazione e si verifica solo dopo che l'utente si è autenticato. In questo caso PAM ha autenticato Bob e ha fornito al sistema operativo la conferma che Bob sta effettivamente utilizzando il sistema. Tuttavia, il sistema operativo dovrebbe quindi eseguire qualche altro controllo nel passaggio 5 per confermare che Bob avesse accesso alla risorsa.