Autenticazione di certificazione del client come opzione per proteggere un dispositivo per consentire l'accesso

Question

Autenticazione di certificazione del client come opzione per proteggere un dispositivo per consentire l'accesso

#1 da (0 voti)

0

Sto lavorando su un dispositivo commerciale (hardware personalizzato con firmware e software incorporato) che include un sistema operativo Linux e funzionerà in un ambiente di rete non protetto collegato via Ethernet. Sarà vulnerabile a vari attacchi. Abbiamo eseguito una valutazione del rischio per la sicurezza e ottenuto dei rischi.

Sono interessato ai controlli per limitare l'accesso al dispositivo che copre questi due scenari principali.

1) La mia azienda invia tecnici dell'assistenza per caricare il software, recuperare i registri e risolvere i problemi. La manutenzione viene eseguita di rado (ad esempio una volta all'anno) utilizzando il software controllato dalla mia azienda. Ad esempio, il software non viene aggiornato molto spesso una volta all'anno. Il software esegue un singolo laptop. La sicurezza è limitata in qualche modo per cui se il laptop viene rubato e si ottengono credenziali, l'accesso è compromesso.

2) È necessario un numero molto ridotto di applicazioni di terze parti (ad esempio meno di 10) per interfacciare in modalità di sola lettura per recuperare i dati dal dispositivo per consentire l'integrazione aziendale.

L'approccio che sto considerando è con i certificati client in cui il dispositivo è il server e le applicazioni software in (1) e (2) sono i client. Questo mi porta giù nel percorso se andare con una CA interna o una CA privata e intermedia. Questo solleva alcune domande come:

Quanti certificati unici emettere
Tempi di scadenza dei certificati
Uso degli elenchi di revoche certificati (CRL)

La domanda che ho è se esiste un approccio alternativo all'utilizzo dei certificati client che risolve (1) e (2)?

authentication client certificates

posta sdbol 16.02.2017 - 22:16

fonte

1 risposta

Leggi altre domande sui tag authentication client certificates

unifi AP come isolare la rete ospite Cliccato su un link abbreviato in un'email di phishing in Mac [duplicato]

score 0 · Accepted Answer

I certificati sono una buona soluzione

Il dispositivo avrà un certificato server emesso da una CA (root o intermedio). Può fidarsi dei certificati client emessi dalla stessa CA (o un'altra subCA della rootCA). Quando usi i certificati hai ragione ci sono due cose di cui preoccuparsi:

Runtime del certificato del dispositivo e
il runtime del CRL.

Se il dispositivo ha accesso ethernet su una rete non fidata, questo è ottimo. Il dispositivo può recuperare gli aggiornamenti del CRL. E poiché il CRL è firmato dalla CA attendibile, non importa, che la rete non è affidabile, poiché il CRL è attendibile e non può essere modificato.

Penso che questa sia probabilmente la soluzione migliore. Un giorno devi

rinnova il certificato del dispositivo e
il certificato di root.

L'approccio alternativo finisce facilmente in un PKI

Bene, per soddisfare il requisito (1) è possibile creare una semplice VPN (come tinc) tra i dispositivi e i laptop. Ma come hai fatto notare, se il laptop viene rubato, devi avere un processo per escludere il laptop dalla VPN. Questo potrebbe essere ingombrante.

Ma in realtà devi anche verificare che il CRL venga aggiornato e recuperato dal dispositivo, se un laptop viene rubato ...

Per quanto riguarda il requisito (2): potresti anche provare a lavorare con chiavi API o chiavi API asimmetriche. Ma se una chiave API è compromessa, è necessario invalidare questa chiave API. E alla fine si finisce per ricostruire un PKI.

on-line?

Tuttavia, se il dispositivo ha una connessione di rete affidabile (Disponibilità), è possibile eseguire una gestione centrale. Utilizzando questa gestione centralizzata è possibile bloccare le chiavi API simmetriche di applicazioni di terze parti e si potrebbe bloccare il servizio personale e si potrebbero invalidare le chiavi VPN ... Quindi sì, se hai una connessione di rete affidabile probabilmente potresti fare tutto questo senza il fastidio dei certificati che scadono ...