Konvergens av fysisk åtkomst | Zero Assumptions vol. 15 | Ciptor

Antagandet

Äldre miljöer som VPN-gateways, inloggning med smartkort på arbetsstationer och lokal PKI kan inte hantera moderna lösenordsfria FIDO2-arkitekturer. Därför får de leva vidare i separata spår: gammal PIV/PKI för äldre system, ny FIDO2 för molnappar och passerkortsläsare kopplade till ett tredje, fysiskt passersystem. Att hantera tre separata autentiseringssystem är en driftbörda, men säkerhetsläget antas vara detsamma.

Verkligheten

Åtskilda lager för logisk och fysisk åtkomst skapar inte bara administrativt merarbete. De skapar blinda fläckar i detekteringen som angripare aktivt utnyttjar. När en avslutad anställds passerkort spärras men PIV-certifikatet fortfarande är giltigt, eller när en angripare loggar in på VPN från en plats där användaren aldrig fysiskt har varit, har din SIEM inget sätt att koppla ihop avvikelserna.

Målarkitekturen

Inför hybrida säkerhetsnycklar som kan köra FIDO2 parallellt med PIV och äldre PKI-protokoll i samma certifierade säkra element, och koppla nycklarna till kortläsare vid varje fysisk passage. En enda kryptografisk förtroendegrund styr då samtidigt inloggning på arbetsstationen, SSO i molnet, äldre VPN och tillträde till byggnaden. En enda spärråtgärd återkallar allt.

Detekteringsgapet som ingen loggar

Scenarier som din SIEM inte ser när fysisk och logisk åtkomst hanteras separat

• Den avslutade anställdas passerkort spärras men PIV-certifikatet är fortfarande giltigt. En spökbehörighet finns kvar för logisk åtkomst efter att den fysiska åtkomsten tagits bort.

• En angripare loggar in på VPN eller SSO i molnet från en plats som användaren aldrig fysiskt har besökt. Det finns ingen baslinje för fysisk närvaro att jämföra med.

• En insider tar sig fysiskt in i serverrummet efter att de logiska behörigheterna begränsats. Ingen samlad borttagning av behörigheter utlöste en fysisk spärr.

• En konsult går in i byggnaden utanför arbetstid utan någon motsvarande inloggning i systemen. Ingen avvikelse upptäcks eftersom revisionsloggarna finns i separata system.

Hårdvaran

Winkeo-C, europeisk referensnyckel

Tillverkad i Frankrike · FIDO2 / WebAuthn · ANSSI Visa de Sécurité

• Säkert element certifierat enligt CC EAL6+, det starkaste manipulationsskyddet på chipnivå som finns i en kommersiell FIDO2-nyckel

• ANSSI Visa de Sécurité: det högsta godkännandet från Frankrikes nationella cybersäkerhetsmyndighet och ett direkt revisionsunderlag för NIS2 artikel 21

• FIDO2 / WebAuthn + U2F: phishingresistent inloggning för alla moderna identitetsleverantörer (Entra ID, Okta, Google Workspace)

• USB-C + NFC: fungerar med NFC-kompatibla kortläsare vid byggnadens passager

• Tillverkad i Frankrike: helt europeisk leveranskedja, utan exponering för firmware från tredje land

BioPass K49, biometrisk konvergens på EAL6+-nivå

FIDO2 + PIV + biometri · Flera protokoll · Förberedd för postkvantkryptografi

• Chip certifierat enligt CC EAL6+: manipulationsskydd på hårdvarunivå för alla protokoll

• FIPS 140-3 Level 3: validerad kryptografisk gräns för reglerade och offentliga miljöer

• FIDO2 + PIV + OATH + OpenPGP: en nyckel täcker samtidigt molnappar och äldre PIV-infrastruktur

• Fingeravtrycksbiometri på chipet: biometrin verifieras i nyckeln och lämnar den aldrig, och det finns ingen biometrisk databas på någon server

• Förberedd för postkvantkryptografi: firmwarearkitekturen är byggd för migrering till PQC-algoritmer

Kortläsare som kompletterar arkitekturen

Ett brett urval av certifierade kortläsare för varje plats i miljön

• Stationära USB-läsare: Inloggning på arbetsstationer och bärbara datorer med smartkort och FIDO2-nyckel, kompatibla med PIV och Windows Hello.

• Dörrmonterade kontaktlösa läsare: NFC-läsare för byggnadens entréer, serverrum och skyddade zoner, kompatibla med samma nyckel som användarna har för logisk åtkomst.

• Multiprotokolläsare: Läsare som hanterar både kontaktbaserade PIV-smartkort och kontaktlös NFC/FIDO2 i en och samma enhet, vilket förenklar miljöer med blandad utrustning.

• Integration med passersystem (PACS): Läsare som fungerar med de stora passersystemen. Vi ger gärna råd om kompatibiliteten med ert befintliga system.

Fysisk och logisk åtkomstkontroll under ett och samma revisionskrav

En samlad arkitektur som ger en enhetlig revisionslogg över båda perimetrarna uppfyller kravet med en enda kontroll, i stället för två separata dokumentationsuppsättningar för två separata åtkomstsystem.

Pelare 3 klar · Pelare 4 börjar med vol. 16

Volym 11–15 har lagt grunden för hårdvarans förtroendegrund. Pelare 4, Regulatorisk ansvarsskyldighet, börjar med vol. 16. Utforska Ciptors sortiment på ciptor.se.