Usando um token de hardware para login

Question

Eu sou novo para o tópico da criptografia e estou estudando PKI e PKCS etc. Eu entendo o conceito básico de PKI e como ele é usado para codificação / decodificação. Estou confuso no entanto sobre como um token de hardware como um token USB ou um cartão inteligente é usado para login seguro para o seu computador. Aqui estão os passos que eu compreendê-los e a parte que eu estou confuso com (desculpe antecipadamente para o comprimento pergunta):

Cenário: xyz computador na rede contém dados que somente usuários pertencentes ao acesso do grupo secreta pode. Usuários Bob e Joe estão neste grupo e foram emitidos tokens USB que eles podem usar para fornecer credenciais que lhes permitam aceder a estes recursos. O token USB emprega autenticação de dois fatores e requer um pino para ser entrada. O token é compatível PKCS11.

1. Bob insere o token USB na máquina Linux
2. Um módulo PAM-PKCS11 reconhece este evento e instruções Bob a entrar em seu pino.
3. Uma vez que Bob entra corretamente seus 4 dígitos PIN, o módulo verifica a validade do certificado de Bob do token (isso varia, mas o que é mínimo?) :
   • Localizando o certificado raiz para verificar se há uma CA confiável
   • Verificar datas de validade de certificados e listas de revogação
   • id correspondente no sinal contra arquivo de usuário (onde ?, faltando uma etapa) ou diretório (LDAP, etc.)
4. Se tudo parece bom, informa módulo PAM do resultado bem sucedido.
5. Esta linha é rotulado suficiente para PAM aceita autenticação e Bob está conectado e pode ver informações restrito a usuários do grupo secreto.

A parte que eu estou faltando é onde está a informação armazenada sobre se ou não Bob pode acessar esta máquina e como exatamente ele está vinculado a Bob a rede (ou mesmo desktop) do usuário. Eu entendo que outros dados de identificação sobre Bob será armazenado no USB, incluindo uma ID (por exemplo, endereço de email). No entanto, como isso é forte segurança? Onde está sendo cripto empregado durante o processo de login, se em tudo (ou é que não o verdadeiro propósito dessas fichas)? Se alguém se apodera do USB e sabe o PIN de 4 dígitos, que parece ser tudo que é necessário, certo? Além disso, é essencialmente a confiança na CA que permite que é a confiança que outro usuário não pode obter um novo token USB e usar um confiável CA para obter um novo certificado, mas especificar todos os dados de identificação a ser o mesmo que Bob? Eu sei que há alguma parte crítica que estou em falta .. mas depois de ler dezenas de artigos, a explicação desta área parece encoberto. É uma boa idéia usar um token de hardware como um meio suficiente para autenticação para acessar uma máquina contendo dados sensíveis? Ou é o propósito de tais fichas principalmente para pares armazenamento de chaves com segurança que são utilizados em outras aplicações? Obrigado por sua ajuda!

Answer 1

PAM (como o nome sugere), apenas lida com a autenticação. A autenticação é para provar quem é o usuário, ou seja, "Prove-me que é quem diz que é." Este é separado do Authorization que é, ou seja, "Você tem acesso a este recurso?".

Há três aspectos a autenticação:
1. Eu conheço
2. Eu tenho
3. I Am

Um típico nome de utilizador / palavra-passe encaixa em combinação 1. Enquanto um dispositivo PKCS sinal, ou outro, se encaixa em 2, e dados biométricos, tais como reconhecimento da íris ou da impressão digital de leitura se encaixa em número de três.

O mais destes aspectos que você tem em sua segurança o melhor / mais apertado a segurança é. Neste caso, os ajustes de login em 1 e 2 assim é mais seguro do que apenas um nome de usuário e passowrd. Se alguém estava a obter o seu pin fora dele e roubar o seu dispositivo, então sim, não provam que é bob usá-lo. Mas, então, nem se ele se Bob deu seu nome de usuário e senha para alguém quer.

O ponto do token é introduzir o segundo fator de "ter" algo, o fato de que você também precisa de um meio de PIN que "saber" alguma coisa também é necessária. Assim, o sistema pode, então, ter mais confiança de que a pessoa é quem diz ser.

A parte que falta você está se referindo é Autorização isso como indicado é um processo separado para Autenticação e só acontece depois que o usuário autenticado si. Neste caso PAM foi autenticado Bob e desde confirmação para o sistema operacional que Bob está de fato usando o sistema. No entanto, o sistema operacional teria, então, para realizar algum outro controlo no passo 5 para confirmar que Bob teve acesso ao recurso.