Паролі VPN і кліенцкія сертыфікаты: што аднаўляецца хутчэй

Адно разгортванне патрабуе імя карыстальніка і пароль, другое — кліенцкі сертыфікат, трэцяе — абодва. Выбар змяняе значна больш, чым поле ўваходу: ён вызначае, як выдаюцца ўліковыя даныя, як яны сканчаюцца, як выглядае аднаўленне ў 2 гадзіны ночы і хто можа адклікаць доступ менавіта для адной прылады. Параўноўвайце эксплуатацыйны жыццёвы цыкл, а не дыялогавае акно.

Пароль — гэта сакрэт уліковага запісу, які правераецца працэсам аўтэнтыфікацыі, а сертыфікат — гэта ідэнтычнасць плюс доказ валодання яго прыватным ключом. Гэта розныя аб’екты з рознымі рэжымамі адмовы.

Два розныя доказы, два розныя запыты

Пароль даказвае веданне агульнага сакрэту, таму сервер параўноўвае хэш, а жыццёвым цыклам валодае сістэма ўліковых запісаў. Сертыфікат даказвае валоданне прыватным ключом, і сервер правярае ланцуг подпісаў да CA, якому давярае. Другі можа ідэнтыфікаваць прыладу, а не чалавека, таму разгортванні часта выдаюць па адным на ноўтбук. Парольная фраза, якая абараняе файл ключа, — зноў трэцяе: яна ахоўвае файл у стане спакою і не з’яўляецца паролем уліковага запісу VPN.

Праверка сервера застаецца неабходнай у любой камбінацыі. Сапраўдныя ўліковыя даныя, дасланыя на канечны пункт, ідэнтычнасць якога вы перасталі правяраць, застаюцца ўліковымі данымі, перададзенымі таму, хто адказаў, таму праверка сертыфіката сервера належыць базаваму профілю, а не кроку пошуку няспраўнасцяў.

Выдача, тэрмін дзеяння і адкліканне — гэта сапраўдныя выдаткі

Паролі танна выдаваць і дорага падтрымліваць: скіды, палітыка, паўторнае выкарыстанне і чарга службы падтрымкі. Сертыфікаты пераносяць гэтыя выдаткі наперад, дзе патрэбны CA, працэс подпісу і канал распаўсюджвання, а потым дадаюць каляндар сканчэння тэрміну, які ніхто не памятае. Абодва патрабуюць запланаванага адклікання. Адкліканы сертыфікат патрабуе CRL, які кожны сервер сапраўды чытае, а адключаны ўліковы запіс патрабуе, каб унутраная частка аўтэнтыфікацыі адмаўляла яму пры наступным злучэнні, а не пры наступнай сінхранізацыі.

Ні адзін з механізмаў не становіцца бяспечным проста таму, што існуе. Пытанне ў тым, які жыццёвы цыкл каманда можа весці паслядоўна.

Што ламаецца, калі прылада згублена

Для згубленага ноўтбука выдаліце аўтарызацыю, якую гэтая прылада сапраўды выкарыстоўвала. Скід пароля не адклікае яе сертыфікат, а выдача новага сертыфіката не змяняе пароль несваязнага ўліковага запісу. Асобныя ідэнтычнасці на кожную прыладу робяць мэтанакіраванае выдаленне магчымым, а агульныя ўліковыя даныя азначаюць, што вывядзенне адной прылады закранае некалькі. Запішыце працэдуру аднаўлення для кожнага механізму да таго, як яна спатрэбіцца, уключаючы, хто можа падпісаць заменны сертыфікат па-за працоўнымі гадзінамі.

Практыкуйце шлях адклікання, а не здагадвайцеся: адклічце тэставую ідэнтычнасць, пераканайцеся, што сервер адмаўляе яе пры новым злучэнні, потым аднавіце. Працэс адклікання, які ніколі не практыкавалі, схільны ламацца менавіта тады, калі ён патрэбны.

Весці абодва без падваення працы

Многія разгортванні свядома спалучаюць абодва: сертыфікат для прылады і ўліковыя даныя для чалавека, каб скрадзены ноўтбук не быў дастатковым і ўцечаны пароль не быў дастатковым. Такое спалучэнне акупляецца толькі тады, калі два жыццёвыя цыклы застаюцца асобнымі і абодва аўтаматызаваныя. Інакш служба падтрымкі вядзе дзве чаргі, а выйгрыш у бяспецы застаецца тэарэтычным.

Выбірайце метад, які кліенты сэрвісу і інструменты кіравання сапраўды падтрымліваюць. Аслабленне праверкі, каб непрыдатны профіль падключыўся, перавяртае ўсю сутнасць, і профіль, адрэдагаваны да падключэння, часта аказваецца такім, што больш не правярае тое, для чаго быў створаны.

Запішыце, які доказ патрабуе кожнае разгортванне і як кожны адклікаецца. Наступны інцыдэнт спытае менавіта пра гэта.