Hesla VPN versus klientské certifikáty: co se obnovuje rychleji

Jedno nasazení žádá uživatelské jméno a heslo, jiné klientský certifikát a třetí obojí. Volba mění mnohem víc než přihlašovací dialog: rozhoduje o tom, jak se vydávají přihlašovací údaje, jak expirují, jak vypadá obnova ve 2 hodiny ráno a kdo může zrušit přístup přesně jednomu zařízení. Porovnávejte provozní životní cyklus, ne dialogové okno.

Heslo je tajemství účtu ověřované autentizačním procesem, zatímco certifikát je identita plus důkaz držení jejího soukromého klíče. Jsou to různé objekty s různými režimy selhání.

Dva různé důkazy, dva různé dialogy

Heslo prokazuje znalost sdíleného tajemství, takže server porovnává hash a životní cyklus vlastní systém účtů. Certifikát prokazuje držení soukromého klíče a server ověřuje řetězec podpisů až k CA, které důvěřuje. Druhý umí identifikovat zařízení místo osoby, a proto nasazení často vydávají jeden na notebook. Přihlašovací fráze chránící soubor s klíčem je zase třetí věc: chrání soubor v klidu a není heslem účtu VPN.

Ověření serveru zůstává nutné v každé kombinaci. Platné přihlašovací údaje odeslané koncovému bodu, jehož identitu jste přestali kontrolovat, jsou pořád údaje předané tomu, kdo odpověděl, a proto kontrola certifikátu serveru patří do základního profilu, ne do kroku řešení potíží.

Vydávání, expirace a odvolání jsou skutečná cena

Hesla se vydávají levně a podporují draze: resetování, politika, opakované použití a fronta helpdesku. Certifikáty přesouvají tuto cenu dopředu, kde potřebujete CA, proces podepisování a distribuční kanál, a pak přidají kalendář expirace, který si nikdo nepamatuje. Obojí potřebuje plánované odvolání. Odvolaný certifikát potřebuje CRL, který každý server skutečně čte, a deaktivovaný účet potřebuje, aby ho autentizační backend odmítl při příštím připojení, ne při příští synchronizaci.

Ani jeden mechanismus není bezpečný jen tím, že existuje. Otázkou je, který životní cyklus tým dokáže udržet konzistentně.

Co se rozbije, když se zařízení ztratí

U ztraceného notebooku odstraňte autorizaci, kterou toto zařízení skutečně používalo. Reset hesla neodvolá jeho certifikát a vydání nového certifikátu nezmění heslo nesouvisejícího účtu. Oddělené identity pro každé zařízení umožňují cílené odstranění, zatímco sdílené údaje znamenají, že odebrání jednoho zařízení ovlivní několik. Napište postup obnovy pro každý mechanismus dřív, než ho budete potřebovat, včetně toho, kdo může mimo pracovní dobu podepsat náhradní certifikát.

Procvičte cestu odvolání místo předpokladu: odvolejte testovací identitu, potvrďte, že ji server odmítne na novém připojení, a pak ji obnovte. Proces odvolání, který se nikdy necvičil, obvykle selže přesně ve chvíli, kdy je potřeba.

Provozovat obojí bez zdvojnásobení práce

Mnohá nasazení obojí záměrně kombinují: certifikát pro zařízení a přihlašovací údaj účtu pro osobu, takže ukradený notebook nestačí a uniklé heslo také nestačí. Tato kombinace se vyplatí jen tehdy, když oba životní cykly zůstanou oddělené a oba jsou automatizované. Jinak helpdesk vede dvě fronty a bezpečnostní přínos zůstává teoretický.

Vyberte metodu, kterou klienti služby a nástroje pro správu skutečně podporují. Oslabení ověření, aby se neodpovídající profil připojil, obrací celý smysl, a profil upravený do stavu, kdy se připojí, je často takový, který už nekontroluje to, pro co byl vytvořen.

Zaznamenejte, jaký důkaz každé nasazení vyžaduje a jak se každý odvolává. Příští incident bude žádat přesně to.