オールインワンの「スマート」IDと別のハードウェアオーセンティケーターを使用することのリスクのトレードオフは何ですか？
最近の多くの組織では、従業員IDは非常に多機能です。それらは次のように機能します。
- 視覚的な本人確認。 （従業員の写真、名前、ID番号、その他の顔の詳細を含む）
- アクセス制御の構築。 （RFID、近接カード、バーコード、磁気ストリップ、またはスマートチップ経由）
- コンピュータアクセス制御。 （スマートチップ）
- 暗号化とデジタル署名証明書の保存。 （スマートチップ）
これらの機能はすべて、一般的なクレジットカードよりも大きくも厚くもない1枚のカードに便利に詰め込むことができます。ただし、後者の2つの機能が分離されていると、より実用的な場合があります。完全にオールインワンのソリューションの代わりに、1つのバッジをビジュアルIDと建物のアクセス制御として使用し、別のバッジ（または他のハードウェア認証システム）を証明書の保存とコンピューターのアクセス制御に使用することもできます。
これらの間のリスクのトレードオフは何でしょうか？
コンピュータアクセスの認証要素として使用されているスマートカードへのWRTでは、スマートカードの秘密鍵をPIN /パスワードで保護できます。したがって、スマートカード認証は、「持っているもの」に加えて「知っているもの」という追加の要素も提供できます。
ほとんどのユーザーにとって、プロビジョニング/配布の管理および複数セットの物理認証トークンの操作のコストと比較した場合、リスクは許容範囲内です。さまざまな組織やコンサルタントの人々が、コンサルティング対象のさまざまな組織のスマートカードとUSBトークンのチェーンを持ち歩いているのを見てきました。確かに、ID管理のためのサービスプロバイダーモデルを提供することはまだしばらく先ですが、より単純な認証モデル（つまり、外部委託された2番目の要素の認証、openid、hothなど）を提供する傾向があります。
リスクの高いユーザーや場所の場合、認証に関する追加の要素がよく見られます。たとえば、3つの要素（生体認証、カード、ピン、重量）がかなり一般的です。さらに、営業時間中にカードと生体認証をマントラップで提示するだけでよい組織と協力してきましたが、営業時間後には追加の要素も使用する必要があります。さらに、リスクの高いユーザーは通常、認証キーと署名キーがさらに分離される可能性があります。したがって、特定のトランザクションを承認するために否認防止の署名キーを含むために使用される2番目のデバイスがあります。
非常に機密性の高い情報を持つ組織とユーザーは、セキュリティのために単純さと速度を犠牲にする追加の制御を活用します。単純なマントラップでさえ、ターンスタイルよりもユーザーの認証に時間がかかります。
そうは言っても、すべての機能を統合する組織は通常、複数の物理的な場所で規模が大きくなります。このような組織は、1つのベンダー、1つのカードなどに統合することで、コスト削減を実現できます。統合されたアクセス制御のルートを進む中小組織が増えているのを見てきましたが、それらはほとんどありません（パスワードは依然として一般的であり、はるかにハードウェア認証を実装するよりも安価です）。
どちらかといえば、セキュリティ101には、多層防御に関する長い宣伝文と議論が含まれています。機能を統合することは、リスクが特定され管理されている限り、必ずしもより多くのリスクを開くとは限りません。
なぜ2つを分離したいのですか？これは、PKI非接触デュアルインターフェイスカードとリーダーを使用して行うことも、機密性の高い環境で追加のセキュリティが必要な場合に連絡先カードを展開することもできます。
13.56 MHzテクノロジーと互換性のあるリーダーを備えた非接触型カードを使用すると、2番目の要素が必要なユーザーの高度な認証に最適です。従業員がシステム上の一般的なプログラムにアクセスできる場合、このユーザーのデュアルインターフェイスカードにさらにお金をかけることは意味がありません。通常の非接触型カードで問題ありません。
ただし、一部のユーザーは機密性の高い情報にアクセスでき、さらに強力な情報が必要になる場合があります。これは、表面にゴールドチップが埋め込まれたコンタクトスマートカード、またはPKIが有効で、ゴールドチップのない通常の非接触カードのように見えるデュアルインターフェイスカードを使用して実現でき、ユーザーは両方の形式のセキュリティを利用できます。 。これらのカードははるかに高価であり、それは全面的に法外な費用がかかる可能性があります。
これに対する良い解決策は、どのユーザーがどのプログラムにアクセスするかを計画し、誰がより高価なカードを使用することで利益を得るかを決定し、そうでない人のために安価なカードを使用することです。
コストは、2つの別々のバッジを使用しない主な要因であり、ユーザーがそれに追いつく必要があります。
私が働いている会社には、ほとんどの種類のカードとリーダーでこれらすべてを管理するソフトウェアがあります。このソフトウェアには、リスクベース認証、緊急アクセス、PINおよびPKI証明書など。ここには多くのオプションがあります。