Contrasenyes VPN davant de certificats de client: què es recupera més de pressa

Un desplegament demana nom d’usuari i contrasenya, un altre un certificat de client, i un tercer tots dos. L’elecció canvia molt més que el diàleg d’inici de sessió: decideix com s’emeten les credencials, com caduquen, com es veu la recuperació a les 2 de la matinada i qui pot revocar l’accés per a exactament un dispositiu. Compareu el cicle de vida operatiu, no la caixa de diàleg.

Una contrasenya és un secret de compte validat per un procés d’autenticació, mentre que un certificat és una identitat més la prova de possessió de la seva clau privada. Són objectes diferents amb maneres de fallar diferents.

Dues proves diferents, dos diàlegs diferents

Una contrasenya demostra el coneixement d’un secret compartit, així que el servidor compara un hash i el sistema de comptes posseeix el cicle de vida. Un certificat demostra la possessió d’una clau privada, i el servidor verifica una cadena de signatures fins a una CA en què confia. El segon pot identificar un dispositiu en lloc d’una persona, i per això els desplegaments sovint n’emeten un per ordinador portàtil. Una frase de pas que protegeix un fitxer de clau torna a ser una tercera cosa: guarda el fitxer en repòs i no és la contrasenya del compte VPN.

La verificació del servidor continua sent necessària en qualsevol combinació. Unes credencials vàlides enviades a un extrem la identitat del qual heu deixat de comprovar segueixen sent credencials lliurades a qui va respondre, i per això la comprovació del certificat del servidor pertany al perfil bàsic i no a un pas de resolució de problemes.

L’emissió, la caducitat i la revocació són el cost real

Les contrasenyes són barates d’emetre i cares de mantenir: restabliments, política, reutilització i la cua del servei d’assistència. Els certificats mouen aquest cost cap endavant, on cal una CA, un procés de signatura i un canal de distribució, i després afegeixen un calendari de caducitat que ningú recorda. Tots dos necessiten una revocació planificada. Un certificat revocat necessita una CRL que cada servidor llegeixi de veritat, i un compte desactivat necessita que el rerefons d’autenticació el rebutgi en la propera connexió i no en la propera sincronització.

Cap dels dos mecanismes es torna segur pel fet d’existir. La pregunta és quin cicle de vida pot operar l’equip de manera consistent.

Què es trenca quan es perd un dispositiu

Per a un ordinador portàtil perdut, elimineu l’autorització que aquell dispositiu va fer servir realment. Restablir la contrasenya no revoca el seu certificat, i emetre un certificat nou no canvia la contrasenya d’un compte no relacionat. Les identitats separades per dispositiu fan possible una eliminació dirigida, mentre que les credencials compartides fan que retirar un dispositiu n’afecti diversos. Escriviu el procediment de recuperació per a cada mecanisme abans de necessitar-lo, incloent-hi qui pot signar un certificat de substitució fora de l’horari laboral.

Exerciu el camí de revocació en lloc de suposar-lo: revoqueu una identitat de prova, confirmeu que el servidor la rebutja en una connexió nova i després restaureu-la. Un procés de revocació que no s’ha exercit mai tendeix a fallar exactament quan cal.

Executar tots dos sense duplicar la feina

Molts desplegaments combinen tots dos deliberadament: un certificat per al dispositiu i una credencial de compte per a la persona, de manera que un ordinador portàtil robat no n’hi ha prou i una contrasenya filtrada tampoc. Aquesta combinació només surt a compte quan els dos cicles de vida es mantenen separats i tots dos estan automatitzats. Si no, el servei d’assistència porta dues cues i el guany de seguretat queda teòric.

Trieu el mètode que els clients del servei i les eines de gestió realment admeten. Debilitar la verificació perquè un perfil desajustat es connecti inverteix tot el sentit, i un perfil editat fins que es connecta sovint és un que ja no comprova allò per a què es va construir.

Anoteu quina prova requereix cada desplegament i com es revoca cadascuna. El proper incident demanarà exactament això.