VPN-wagwoorde teenoor kliëntsertifikate: wat herstel vinniger

Een ontplooiing vra vir ’n gebruikersnaam en wagwoord, ’n ander vir ’n kliëntsertifikaat, en ’n derde vir albei. Die keuse verander veel meer as die aanmeldprompt: dit bepaal hoe geloofsbriewe uitgereik word, hoe hulle verval, hoe herstel om 2 uur soggens lyk en wie toegang vir presies een toestel kan herroep. Vergelyk die operasionele lewensiklus eerder as die dialoogvenster.

’n Wagwoord is ’n rekeninggeheim wat deur ’n verifikasieproses bekragtig word, terwyl ’n sertifikaat ’n identiteit plus bewys van besit van sy private sleutel is. Dit is verskillende objekte met verskillende foutmodusse.

Twee verskillende bewyse, twee verskillende prompts

’n Wagwoord bewys kennis van ’n gedeelde geheim, dus vergelyk die bediener ’n hash en die rekeningstelsel besit die lewensiklus. ’n Sertifikaat bewys besit van ’n private sleutel, en die bediener verifieer ’n handtekeningketting na ’n CA wat hy vertrou. Die tweede kan ’n toestel eerder as ’n persoon identifiseer, en daarom reik ontplooiings dikwels een per skootrekenaar uit. ’n Wagfrase wat ’n sleutellêer beskerm, is weer ’n derde ding: dit bewaak die lêer in rus en is nie die VPN-rekeningwagwoord nie.

Bedienerverifikasie bly in elke kombinasie nodig. Geldige geloofsbriewe wat na ’n eindpunt gestuur word wie se identiteit jy opgehou verifieer het, is steeds geloofsbriewe wat aan die persoon wat geantwoord het, oorhandig word; daarom hoort die bediener-sertifikaatkontrole in die basisprofiel eerder as in ’n foutopsporingsstap.

Uitreiking, verval en herroeping is die werklike koste

Wagwoorde is goedkoop om uit te reik en duur om te ondersteun: herstellings, beleid, hergebruik en die helpdeskwaglys. Sertifikate skuif daardie koste na die voorkant, waar jy ’n CA, ’n ondertekenproses en ’n verspreidingskanaal nodig het, en voeg dan ’n vervaldatum-kalender by wat niemand onthou nie. Albei het herroeping beplan nodig. ’n Herroepde sertifikaat het ’n CRL nodig wat elke bediener werklik lees, en ’n gedeaktiveerde rekening het die verifikasie-agterkant nodig om dit by die volgende verbinding te weier eerder as by die volgende sinchronisasie.

Nie een van die meganismes word veilig bloot omdat dit bestaan nie. Die vraag is watter lewensiklus die span konsekwent kan bedryf.

Wat breek wanneer ’n toestel verlore gaan

Vir ’n verlore skootrekenaar, verwyder die magtiging wat daardie toestel werklik gebruik het. ’n Wagwoordherstel herroep nie sy sertifikaat nie, en die uitreiking van ’n nuwe sertifikaat verander nie ’n onverwante rekeningwagwoord nie. Afsonderlike identiteite per toestel maak ’n gerigte verwydering moontlik, terwyl gedeelde geloofsbriewe beteken dat die onttrekking van een toestel verskeie raak. Skryf die herstelprosedure vir elke meganisme voordat jy dit nodig het, insluitend wie buite kantoorure ’n vervangsertifikaat kan onderteken.

Oefen die herroepingspad eerder as om dit aan te neem: herroep ’n toetsidentiteit, bevestig dat die bediener dit op ’n nuwe verbinding weier, en herstel dit dan. ’n Herroepingsproses wat nooit geoefen is nie, faal gewoonlik presies wanneer dit nodig is.

Albei bedryf sonder om die werk te verdubbel

Baie ontplooiings kombineer die twee doelbewus: ’n sertifikaat vir die toestel en ’n rekeninggeloofsbrief vir die persoon, sodat ’n gesteelde skootrekenaar nie genoeg is nie en ’n uitgelekte wagwoord nie genoeg is nie. Daardie kombinasie loon eers wanneer die twee lewensiklusse geskei bly en albei geoutomatiseer is. Andersins bedryf die helpdesk twee waglyste en bly die veiligheidswins teoreties.

Kies die metode wat die diens se kliënte en bestuurstoerusting werklik ondersteun. Om verifikasie te verswak sodat ’n wanpasende profiel kan konekteer, keer die hele punt om, en ’n profiel wat geredigeer is totdat dit konekteer is dikwels een wat nie meer kontroleer waarvoor dit gebou is nie.

Teken aan watter bewys elke ontplooiing vereis en hoe elkeen herroep word. Die volgende voorval sal presies dit vra.