VPN lozinke nasuprot klijentskim certifikatima: što se brže oporavlja

Jedna instalacija traži korisničko ime i lozinku, druga klijentski certifikat, a treća oboje. Izbor mijenja mnogo više od prijavnog okvira: odlučuje kako se izdaju vjerodajnice, kako istječu, kako izgleda oporavak u 2 sata ujutro i ko može opozvati pristup za tačno jedan uređaj. Uporedite operativni životni ciklus, a ne dijaloški okvir.

Lozinka je tajna računa koju provjerava proces autentifikacije, dok je certifikat identitet plus dokaz posjedovanja njegovog privatnog ključa. To su različiti objekti s različitim načinima otkaza.

Dva različita dokaza, dva različita upita

Lozinka dokazuje znanje zajedničke tajne, pa server poredi heš i računski sistem posjeduje životni ciklus. Certifikat dokazuje posjedovanje privatnog ključa, a server provjerava lanac potpisa do CA kojem vjeruje. Drugi može identifikovati uređaj umjesto osobe, zato instalacije često izdaju po jedan po laptopu. Lozinka koja štiti datoteku ključa opet je treća stvar: čuva datoteku u mirovanju i nije lozinka VPN računa.

Provjera servera ostaje neophodna u svakoj kombinaciji. Važeće vjerodajnice poslane na odredište čiji identitet više ne provjeravate i dalje su vjerodajnice predane onome ko je odgovorio, zato provjera certifikata servera pripada osnovnom profilu, a ne koraku za rješavanje problema.

Izdavanje, istek i opoziv su stvarni trošak

Lozinke je jeftino izdavati i skupo podržavati: resetiranja, politika, ponovno korištenje i red helpdeska. Certifikati premještaju taj trošak naprijed, gdje trebaju CA, proces potpisivanja i kanal distribucije, a zatim dodaju kalendar isteka kojeg se nitko ne sjeća. Oboje treba planirani opoziv. Opozvani certifikat treba CRL koji svaki server stvarno čita, a onemogućen račun treba da ga autentifikacijski backend odbije pri sljedećoj vezi, a ne pri sljedećoj sinhronizaciji.

Nijedan mehanizam ne postaje siguran zato što postoji. Pitanje je koji životni ciklus tim može dosljedno voditi.

Šta se kvari kada se uređaj izgubi

Za izgubljeni laptop uklonite autorizaciju koju je taj uređaj stvarno koristio. Resetiranje lozinke ne opoziva njegov certifikat, a izdavanje novog certifikata ne mijenja lozinku nepovezanog računa. Odvojeni identiteti po uređaju omogućavaju ciljano uklanjanje, dok zajedničke vjerodajnice znače da uklanjanje jednog uređaja pogađa nekoliko. Napišite proceduru oporavka za svaki mehanizam prije nego što vam zatreba, uključujući ko može potpisati zamjenski certifikat van radnog vremena.

Vježbajte put opoziva umjesto da ga pretpostavljate: opozovite testni identitet, potvrdite da ga server odbija na novoj vezi, pa ga vratite. Proces opoziva koji nikad nije vježban obično zakaže tačno kada je potreban.

Voditi oboje bez udvostručavanja posla

Mnoge instalacije namjerno kombinuju oboje: certifikat za uređaj i vjerodajnicu računa za osobu, tako da ukradeni laptop nije dovoljan i procurjela lozinka nije dovoljna. Ta kombinacija se isplati samo kada dva životna ciklusa ostanu odvojena i oba automatizovana. Inače helpdesk vodi dva reda, a sigurnosna dobit ostaje teoretska.

Odaberite metodu koju klijenti usluge i alati za upravljanje stvarno podržavaju. Slabljenje provjere da bi se neusklađeni profil povezao obrće cijelu poantu, a profil uređivan dok se ne poveže često je onaj koji više ne provjerava ono zbog čega je napravljen.

Zabilježite koji dokaz svaka instalacija zahtijeva i kako se svaki opoziva. Sljedeći incident će tražiti upravo to.