VPN пароли срещу клиентски сертификати: кое се възстановява по-бързо

Едно внедряване изисква потребителско име и парола, друго — клиентски сертификат, а трето — и двете. Изборът променя много повече от екрана за вход: той решава как се издават удостоверенията, как изтичат, как изглежда възстановяването в 2 часа през нощта и кой може да отнеме достъп точно на едно устройство. Сравнявайте оперативния жизнен цикъл, а не диалоговия прозорец.

Паролата е тайна на акаунта, проверявана от процес за удостоверяване, докато сертификатът е самоличност плюс доказателство за притежание на частния му ключ. Това са различни обекти с различни режими на отказ.

Две различни доказателства, два различни екрана

Паролата доказва знание на споделена тайна, затова сървърът сравнява хеш и жизненият цикъл е собственост на системата за акаунти. Сертификатът доказва притежание на частен ключ и сървърът проверява верига от подписи до CA, на което има доверие. Второто може да идентифицира устройство, а не човек, затова внедряванията често издават по един на лаптоп. Паролата за защита на ключов файл е отново трето нещо: тя пази файла в покой и не е паролата на VPN акаунта.

Проверката на сървъра остава необходима във всяка комбинация. Валидни удостоверения, изпратени към крайна точка, чиято самоличност сте престанали да проверявате, пак са удостоверения, предадени на този, който е отговорил, затова проверката на сървърния сертификат принадлежи в базовия профил, а не в стъпка за отстраняване на проблеми.

Издаването, изтичането и отзоваването са истинската цена

Паролите са евтини за издаване и скъпи за поддръжка: нулирания, политика, повторно използване и опашката на helpdesk. Сертификатите преместват тази цена напред, където са нужни CA, процес по подписване и канал за разпространение, и после добавят календар за изтичане, който никой не помни. И двете се нуждаят от планирано отзоваване. Отзованият сертификат се нуждае от CRL, който всеки сървър наистина чете, а деактивираният акаунт се нуждае от това бекендът за удостоверяване да го откаже при следващата връзка, а не при следващата синхронизация.

Нито един от механизмите не става сигурен, защото съществува. Въпросът е кой жизнен цикъл екипът може да поддържа последователно.

Какво се чупи, когато устройство се загуби

За изгубен лаптоп премахнете оторизацията, която това устройство действително е използвало. Нулирането на парола не отзовава сертификата му, а издаването на нов сертификат не променя паролата на несвързан акаунт. Отделните самоличности за всяко устройство правят целенасоченото премахване възможно, докато споделените удостоверения означават, че извеждането на едно устройство засяга няколко. Напишете процедурата за възстановяване за всеки механизъм, преди да ви потрябва, включително кой може да подпише сертификат за замяна извън работно време.

Упражнявайте пътя на отзоваване, вместо да го предполагате: отзовете тестова самоличност, потвърдете, че сървърът я отказва при нова връзка, после я възстановете. Процес на отзоваване, който никога не е упражняван, обикновено се проваля точно когато е нужен.

Да поддържате и двете без двойна работа

Много внедрявания комбинират двете умишлено: сертификат за устройството и удостоверение за акаунта на човека, така че откраднат лаптоп да не е достатъчен и изтекла парола да не е достатъчна. Тази комбинация се изплаща само когато двата жизнени цикъла остават разделени и и двата са автоматизирани. Иначе helpdesk поддържа две опашки и сигурностната печалба остава теоретична.

Изберете метода, който клиентите на услугата и инструментите за управление действително поддържат. Отслабването на проверката, за да се свърже несъответстващ профил, обръща цялата идея, и профил, редактиран докато се свърже, често е такъв, който вече не проверява това, за което е създаден.

Запишете какво доказателство изисква всяко внедряване и как всяко се отзовава. Следващият инцидент ще поиска точно това.