Vlákno názorů k článku Device Authorization Grant: přihlášení bez rozumného uživatelského vstupu od Saljack - My řešíme podobný problém, že máme zařízení a...

My řešíme podobný problém, že máme zařízení a to dáváme zákazníkům a aby bylo prostě plug and play. Nakonec jdeme cestou, že pro zabezpečení využíváme TPM čip v zařízení. V podstatě zaregistrujeme public klíč z TPM u nás v systému a zařízení se po zapojení do sítě automaticky dokáže přihlásit do našeho systému. Uživatel si ho může pak v portálu přiřadit kam potřebuje. Je to v podstatě to samé jako kdybyste do zařízení nahráli privátní klíč jenom s tím rozdílem, že ten klíč z TPM by nemělo jít jak dostat ven.

Takze pokud tomu spravne rozumim, vy vite, ktere zarizeni komu prodavate, takze ho muzete tomu zakaznikovi priradit jeste predtim, nez mu ho odeslete? A riziko, ze by se k zarizeni nekdo dostal cestou, treba na poste, povazujete za zanedbatelne?

Protoze tyhle problemy muze spravne implementovany Device Auth. Grant resit:
1. Zakaznik prokazuje svoji identitu a opravneni zaregistrovat zarizeni zalogovanim se do naseho online systemu
2. Zakaznik muze zaregistrovat pouze zarizeni, na ktere vidi - user code je nahodny a meni se co par vterin. Nelze prebrat zarizeni, ktere je treba teprv na ceste (potencionalne k jinemu zakaznikovi :D)
3. Behem registrace muzeme pozadovat EULu. Zakaznik potvrzuje, ze od teto chvile prebira za zarizeni odpovednost a pokud si ho necha ukrast, pripadny unik firemnich dat jde na jeho triko.
4. Nemusime predem vedet, ktery zakaznik zaregistruje ktere zarizeni. Takze je muzeme mit naskladnene zabalene, muzeme je ruzne preprodavat pres prostredniky a pod.

Podotykam, ze mluvim o Device Auth. Grantu jako protokolu, ne konkretni implementaci.

Ne žádné riziko tam není, protože zákazník musi zařízení někam přiřadit. Takže i kdyby se ztratilo cestou tak jediné co může útočník udělat je, že se zařízení přihlásí k nám a v tu chvíli ho my můžeme na dálku zablokovat. Bez přiřazení ho nemůže nijak využít vlastně je připojený a poslouchá příkazy.