VPN পাসওয়ার্ড বনাম ক্লায়েন্ট সার্টিফিকেট: কোনটি দ্রুত পুনরুদ্ধার হয়

একটি স্থাপনা ব্যবহারকারীর নাম ও পাসওয়ার্ড চায়, আরেকটি ক্লায়েন্ট সার্টিফিকেট, তৃতীয়টি দুটোই। এই পছন্দ লগইন প্রম্পটের চেয়ে অনেক বেশি কিছু বদলে দেয়: এটি ঠিক করে ক্রেডেনশিয়াল কীভাবে ইস্যু হয়, কীভাবে মেয়াদ শেষ হয়, রাত 2টায় পুনরুদ্ধার কেমন দেখায় এবং কে ঠিক একটি ডিভাইসের অ্যাক্সেস প্রত্যাহার করতে পারে। ডায়ালগ বাক্স নয়, পরিচালন জীবনচক্র তুলনা করুন।

পাসওয়ার্ড হলো একটি অ্যাকাউন্ট গোপন তথ্য যা প্রমাণীকরণ প্রক্রিয়ায় যাচাই হয়, আর সার্টিফিকেট হলো একটি পরিচয় এবং তার ব্যক্তিগত কী-র অধিকারের প্রমাণ। এগুলো ভিন্ন ব্যর্থতার ধরনযুক্ত ভিন্ন বস্তু।

দুটি ভিন্ন প্রমাণ, দুটি ভিন্ন প্রম্পট

পাসওয়ার্ড একটি ভাগ করা গোপন তথ্যের জ্ঞান প্রমাণ করে, তাই সার্ভার একটি হ্যাশ তুলনা করে এবং অ্যাকাউন্ট সিস্টেম জীবনচক্রের মালিক। সার্টিফিকেট ব্যক্তিগত কী-র অধিকার প্রমাণ করে, এবং সার্ভার তার বিশ্বস্ত কোনো CA পর্যন্ত স্বাক্ষর শৃঙ্খল যাচাই করে। দ্বিতীয়টি ব্যক্তির বদলে একটি ডিভাইস চিহ্নিত করতে পারে, তাই স্থাপনাগুলো প্রায়ই প্রতি ল্যাপটপে একটি করে ইস্যু করে। কী ফাইল রক্ষাকারী পাসফ্রেজ আবার তৃতীয় একটি জিনিস: এটি বিশ্রামে থাকা ফাইল পাহারা দেয় এবং VPN অ্যাকাউন্ট পাসওয়ার্ড নয়।

প্রতিটি সমন্বয়েই সার্ভার যাচাই প্রয়োজনীয় থাকে। যে এন্ডপয়েন্টের পরিচয় আপনি আর যাচাই করছেন না সেখানে পাঠানো বৈধ ক্রেডেনশিয়ালও সেই ক্রেডেনশিয়ালই, যা উত্তরদাতার হাতে দেওয়া হয়, তাই সার্ভার-সার্টিফিকেট যাচাই সমস্যা সমাধানের ধাপে নয়, মূল প্রোফাইলে থাকা উচিত।

ইস্যু, মেয়াদ শেষ ও প্রত্যাহারই আসল খরচ

পাসওয়ার্ড ইস্যু করা সস্তা, সমর্থন করা ব্যয়বহুল: রিসেট, নীতি, পুনঃব্যবহার ও হেল্পডেস্ক সারি। সার্টিফিকেট সেই খরচ সামনে নিয়ে আসে, যেখানে CA, স্বাক্ষর প্রক্রিয়া ও বিতরণ চ্যানেল দরকার, তারপর যোগ হয় এমন একটি মেয়াদ শেষের ক্যালেন্ডার যা কেউ মনে রাখে না। দুটোরই পরিকল্পিত প্রত্যাহার দরকার। প্রত্যাহৃত সার্টিফিকেটের জন্য এমন CRL দরকার যা প্রতিটি সার্ভার সত্যিই পড়ে, আর নিষ্ক্রিয় অ্যাকাউন্টের জন্য দরকার প্রমাণীকরণ ব্যাকএন্ড পরবর্তী সিঙ্কে নয়, পরবর্তী সংযোগেই তা প্রত্যাখ্যান করা।

কোনো প্রক্রিয়াই শুধু বিদ্যমান থাকার কারণে নিরাপদ হয় না। প্রশ্ন হলো দলটি কোন জীবনচক্র ধারাবাহিকভাবে চালাতে পারে।

ডিভাইস হারালে কী ভাঙে

হারানো ল্যাপটপের ক্ষেত্রে সেই ডিভাইস যেই অনুমোদন সত্যিই ব্যবহার করেছিল তা সরান। পাসওয়ার্ড রিসেট তার সার্টিফিকেট প্রত্যাহার করে না, আর নতুন সার্টিফিকেট ইস্যু করলে অসংশ্লিষ্ট অ্যাকাউন্ট পাসওয়ার্ড বদলায় না। প্রতি-ডিভাইস আলাদা পরিচয় লক্ষ্যযুক্ত অপসারণ সম্ভব করে, আর ভাগ করা ক্রেডেনশিয়াল মানে একটি ডিভাইস বাদ দিলে কয়েকটি প্রভাবিত হয়। প্রতিটি প্রক্রিয়ার পুনরুদ্ধার পদ্ধতি প্রয়োজন হওয়ার আগেই লিখুন, যার মধ্যে অফিস সময়ের বাইরে কে প্রতিস্থাপন সার্টিফিকেট স্বাক্ষর করতে পারে তা অন্তর্ভুক্ত।

প্রত্যাহার পথ অনুমান না করে অনুশীলন করুন: একটি পরীক্ষামূলক পরিচয় প্রত্যাহার করুন, নতুন সংযোগে সার্ভার তা প্রত্যাখ্যান করে কিনা নিশ্চিত করুন, তারপর পুনরুদ্ধার করুন। কখনো অনুশীলন না করা প্রত্যাহার প্রক্রিয়া ঠিক যখন দরকার তখনই ব্যর্থ হওয়ার প্রবণতা রাখে।

কাজ দ্বিগুণ না করে দুটোই চালানো

অনেক স্থাপনা সচেতনভাবে দুটোকে মিলিয়ে দেয়: ডিভাইসের জন্য সার্টিফিকেট আর ব্যক্তির জন্য অ্যাকাউন্ট ক্রেডেনশিয়াল, যাতে চুরি হওয়া ল্যাপটপ যথেষ্ট না হয় এবং ফাঁস হওয়া পাসওয়ার্ডও যথেষ্ট না হয়। এই সমন্বয় তখনই লাভজনক যখন দুটি জীবনচক্র আলাদা থাকে এবং দুটোই স্বয়ংক্রিয় থাকে। নইলে হেল্পডেস্ক দুটি সারি চালায় আর নিরাপত্তা লাভ তাত্ত্বিক থাকে।

সেবার ক্লায়েন্ট ও ব্যবস্থাপনা টুলিং সত্যিই যে পদ্ধতি সমর্থন করে তা বেছে নিন। মিলহীন প্রোফাইল সংযুক্ত করার জন্য যাচাই দুর্বল করা পুরো উদ্দেশ্য উল্টে দেয়, এবং সংযুক্ত হওয়ার জন্য সম্পাদিত প্রোফাইল প্রায়ই এমন এক প্রোফাইল যা আর যাচাই করে না যা যাচাই করার জন্য বানানো হয়েছিল।

প্রতিটি স্থাপনা কোন প্রমাণ চায় এবং প্রতিটি কীভাবে প্রত্যাহার হয় তা লিখে রাখুন। পরবর্তী ঘটনা ঠিক সেটাই চাইবে।