VPN-adgangskoder kontra klientcertifikater: hvad gendannes hurtigst

En udrulning beder om brugernavn og adgangskode, en anden om et klientcertifikat, og en tredje om begge. Valget ændrer langt mere end loginboksen: det afgør, hvordan legitimationsoplysninger udstedes, hvordan de udløber, hvordan gendannelse ser ud klokken 2 om natten, og hvem der kan tilbagekalde adgangen for præcis én enhed. Sammenlign driftslivscyklussen frem for dialogboksen.

En adgangskode er en kontohemmelighed, der valideres af en godkendelsesproces, mens et certifikat er en identitet plus bevis for besiddelse af dets private nøgle. Det er forskellige objekter med forskellige fejlmåder.

To forskellige beviser, to forskellige prompter

En adgangskode beviser kendskab til en delt hemmelighed, så serveren sammenligner en hash, og kontosystemet ejer livscyklussen. Et certifikat beviser besiddelse af en privat nøgle, og serveren verificerer en signeringskæde til en CA, den stoler på. Det andet kan identificere en enhed frem for en person, hvorfor udrulninger ofte udsteder ét per laptop. En adgangssætning, der beskytter en nøglefil, er igen en tredje ting: den beskytter filen i ro og er ikke VPN-kontoens adgangskode.

Serververifikation er fortsat nødvendig i enhver kombination. Gyldige legitimationsoplysninger sendt til et endepunkt, hvis identitet du er holdt op med at kontrollere, er stadig legitimationsoplysninger givet til den, der svarede, hvorfor servercertifikatkontrollen hører til i basisprofilen frem for i et fejlfindingsskridt.

Udstedelse, udløb og tilbagekaldelse er den reelle omkostning

Adgangskoder er billige at udstede og dyre at understøtte: nulstillinger, politik, genbrug og helpdesk-køen. Certifikater flytter den omkostning frem, hvor du har brug for en CA, en signeringsproces og en distributionskanal, og tilføjer så en udløbskalender, som ingen husker. Begge har brug for planlagt tilbagekaldelse. Et tilbagekaldt certifikat har brug for en CRL, som hver server faktisk læser, og en deaktiveret konto har brug for, at godkendelsesbackenden afviser den ved næste forbindelse frem for ved næste synkronisering.

Ingen af mekanismerne bliver sikre, fordi de findes. Spørgsmålet er, hvilken livscyklus teamet kan drive konsekvent.

Hvad går i stykker, når en enhed mistes

For en mistet laptop skal du fjerne den autorisation, som enheden faktisk brugte. En nulstilling af adgangskoden tilbagekalder ikke dens certifikat, og udstedelsen af et nyt certifikat ændrer ikke en uafhængig kontos adgangskode. Adskilte identiteter per enhed gør en målrettet fjernelse mulig, mens delte legitimationsoplysninger betyder, at offboarding af én enhed påvirker flere. Skriv gendannelsesproceduren for hver mekanisme, før du får brug for den, inklusive hvem der kan signere et erstatningscertifikat uden for arbejdstiden.

Øv tilbagekaldelsesvejen i stedet for at antage den: tilbagekald en testidentitet, bekræft at serveren afviser den på en ny forbindelse, og gendan den derefter. En tilbagekaldelsesproces, der aldrig er øvet, har en tendens til at fejle præcis, når den er nødvendig.

Kør begge uden at fordoble arbejdet

Mange udrulninger kombinerer de to med vilje: et certifikat til enheden og en kontolegitimation til personen, så en stjålet laptop ikke er nok, og en lækket adgangskode ikke er nok. Kombinationen betaler sig kun, når de to livscyklusser forbliver adskilte, og begge er automatiserede. Ellers kører helpdesken to køer, og sikkerhedsgevinsten forbliver teoretisk.

Vælg den metode, som tjenestens klienter og administrationværktøjer faktisk understøtter. At svække verifikationen for at få en upassende profil til at forbinde vender hele pointen, og en profil, der er redigeret, indtil den forbinder er ofte en, der ikke længere kontrollerer det, den blev bygget til at kontrollere.

Notér, hvilket bevis hver udrulning kræver, og hvordan hver tilbagekaldes. Den næste hændelse vil spørge om præcis det.