VPN-Passwörter vs. Client-Zertifikate: Was sich schneller erholt

Eine Bereitstellung verlangt Benutzername und Passwort, eine andere ein Client-Zertifikat, eine dritte beides. Die Wahl ändert weit mehr als die Anmeldeabfrage: Sie entscheidet, wie Anmeldedaten ausgestellt werden, wie sie ablaufen, wie eine Wiederherstellung um 2 Uhr nachts aussieht und wer den Zugriff für genau ein Gerät widerrufen kann. Vergleichen Sie den betrieblichen Lebenszyklus statt des Dialogfelds.

Ein Passwort ist ein Kontogeheimnis, das durch einen Authentifizierungsprozess geprüft wird, während ein Zertifikat eine Identität plus Nachweis des Besitzes seines privaten Schlüssels ist. Das sind verschiedene Objekte mit verschiedenen Fehlerarten.

Zwei verschiedene Nachweise, zwei verschiedene Abfragen

Ein Passwort beweist die Kenntnis eines gemeinsamen Geheimnisses, daher vergleicht der Server einen Hash, und das Kontosystem besitzt den Lebenszyklus. Ein Zertifikat beweist den Besitz eines privaten Schlüssels, und der Server prüft eine Signaturkette bis zu einer CA, der er vertraut. Das zweite kann ein Gerät statt einer Person identifizieren, weshalb Bereitstellungen oft eines pro Laptop ausstellen. Eine Passphrase, die eine Schlüsseldatei schützt, ist wieder etwas Drittes: Sie bewacht die Datei im Ruhezustand und ist nicht das VPN-Kontopasswort.

Die Serverprüfung bleibt in jeder Kombination erforderlich. Gültige Anmeldedaten, die an einen Endpunkt gesendet werden, dessen Identität Sie nicht mehr prüfen, sind weiterhin Anmeldedaten, die demjenigen ausgehändigt werden, der geantwortet hat, weshalb die Server-Zertifikatsprüfung in das Basisprofil gehört und nicht in einen Fehlerbehebungsschritt.

Ausstellung, Ablauf und Widerruf sind die eigentlichen Kosten

Passwörter sind billig auszustellen und teuer zu betreuen: Zurücksetzungen, Richtlinien, Wiederverwendung und die Helpdesk-Warteschlange. Zertifikate verlagern diese Kosten nach vorn, wo Sie eine CA, einen Signaturprozess und einen Verteilungskanal brauchen, und fügen dann einen Ablaufkalender hinzu, an den sich niemand erinnert. Beide brauchen einen geplanten Widerruf. Ein widerrufenes Zertifikat braucht eine CRL, die jeder Server tatsächlich liest, und ein deaktiviertes Konto braucht, dass das Authentifizierungs-Backend es bei der nächsten Verbindung ablehnt und nicht erst bei der nächsten Synchronisierung.

Keiner der Mechanismen wird sicher, weil er existiert. Die Frage ist, welchen Lebenszyklus das Team konsistent betreiben kann.

Was kaputtgeht, wenn ein Gerät verloren geht

Bei einem verlorenen Laptop entfernen Sie die Autorisierung, die dieses Gerät tatsächlich verwendet hat. Ein Passwort-Reset widerruft nicht sein Zertifikat, und die Ausstellung eines neuen Zertifikats ändert kein fremdes Kontopasswort. Getrennte Identitäten pro Gerät ermöglichen eine gezielte Entfernung, während gemeinsam genutzte Anmeldedaten bedeuten, dass das Offboarding eines Geräts mehrere betrifft. Schreiben Sie das Wiederherstellungsverfahren für jeden Mechanismus, bevor Sie es brauchen, einschließlich der Frage, wer außerhalb der Geschäftszeiten ein Ersatzzertifikat signieren kann.

Üben Sie den Widerrufspfad, statt ihn anzunehmen: Widerrufen Sie eine Testidentität, bestätigen Sie, dass der Server sie bei einer neuen Verbindung ablehnt, und stellen Sie sie dann wieder her. Ein Widerrufsprozess, der nie geübt wurde, versagt tendenziell genau dann, wenn er gebraucht wird.

Beides betreiben, ohne die Arbeit zu verdoppeln

Viele Bereitstellungen kombinieren beides bewusst: ein Zertifikat für das Gerät und ein Konto-Anmeldedatum für die Person, sodass ein gestohlener Laptop nicht ausreicht und ein geleaktes Passwort nicht ausreicht. Diese Kombination zahlt sich nur aus, wenn die beiden Lebenszyklen getrennt bleiben und beide automatisiert sind. Andernfalls führt der Helpdesk zwei Warteschlangen, und der Sicherheitsgewinn bleibt theoretisch.

Wählen Sie die Methode, die die Clients des Dienstes und die Verwaltungswerkzeuge tatsächlich unterstützen. Die Prüfung abzuschwächen, damit ein unpassendes Profil sich verbindet, kehrt den ganzen Sinn um, und ein Profil, das so lange bearbeitet wurde, bis es sich verbindet, ist oft eines, das nicht mehr prüft, wofür es gebaut wurde.

Halten Sie fest, welchen Nachweis jede Bereitstellung verlangt und wie jeder widerrufen wird. Der nächste Vorfall wird genau danach fragen.