Κωδικοί πρόσβασης VPN ή πιστοποιητικά πελάτη: τι ανακάμπτει γρηγορότερα

Μια εγκατάσταση ζητά όνομα χρήστη και κωδικό πρόσβασης, μια άλλη πιστοποιητικό πελάτη και μια τρίτη και τα δύο. Η επιλογή αλλάζει πολύ περισσότερα από το παράθυρο σύνδεσης: καθορίζει πώς εκδίδονται τα διαπιστευτήρια, πώς λήγουν, πώς μοιάζει η ανάκτηση στις 2 τα ξημερώματα και ποιος μπορεί να ανακαλέσει την πρόσβαση για ακριβώς μία συσκευή. Συγκρίνετε τον επιχειρησιακό κύκλο ζωής και όχι το παράθυρο διαλόγου.

Ένας κωδικός πρόσβασης είναι ένα απόρρητο λογαριασμού που επικυρώνεται από διαδικασία ταυτοποίησης, ενώ ένα πιστοποιητικό είναι ταυτότητα συν απόδειξη κατοχής του ιδιωτικού του κλειδιού. Πρόκειται για διαφορετικά αντικείμενα με διαφορετικούς τρόπους αστοχίας.

Δύο διαφορετικές αποδείξεις, δύο διαφορετικά παράθυρα

Ένας κωδικός πρόσβασης αποδεικνύει γνώση ενός κοινού απορρήτου, οπότε ο διακομιστής συγκρίνει ένα κατακερματισμένο αποτύπωμα και το σύστημα λογαριασμών κατέχει τον κύκλο ζωής. Ένα πιστοποιητικό αποδεικνύει κατοχή ιδιωτικού κλειδιού και ο διακομιστής επαληθεύει μια αλυσίδα υπογραφών μέχρι μια αρχή πιστοποίησης που εμπιστεύεται. Το δεύτερο μπορεί να ταυτοποιήσει συσκευή αντί για πρόσωπο, γι’ αυτό οι εγκαταστάσεις εκδίδουν συχνά ένα ανά φορητό υπολογιστή. Μια φράση πρόσβασης που προστατεύει αρχείο κλειδιού είναι πάλι τρίτο πράγμα: φυλάει το αρχείο σε ηρεμία και δεν είναι ο κωδικός του λογαριασμού VPN.

Η επαλήθευση διακομιστή παραμένει απαραίτητη σε κάθε συνδυασμό. Έγκυρα διαπιστευτήρια που στέλνονται σε τελικό σημείο του οποίου την ταυτότητα σταματήσατε να ελέγχετε παραμένουν διαπιστευτήρια που παραδόθηκαν σε όποιον απάντησε, γι’ αυτό ο έλεγχος πιστοποιητικού διακομιστή ανήκει στο βασικό προφίλ και όχι σε βήμα αντιμετώπισης προβλημάτων.

Η έκδοση, η λήξη και η ανάκληση είναι το πραγματικό κόστος

Οι κωδικοί πρόσβασης είναι φθηνοί στην έκδοση και ακριβοί στην υποστήριξη: επαναφορές, πολιτική, επαναχρησιμοποίηση και η ουρά του helpdesk. Τα πιστοποιητικά μετακινούν αυτό το κόστος μπροστά, όπου χρειάζεστε αρχή πιστοποίησης, διαδικασία υπογραφής και κανάλι διανομής, και μετά προσθέτουν ένα ημερολόγιο λήξης που κανείς δεν θυμάται. Και τα δύο χρειάζονται σχεδιασμένη ανάκληση. Ένα ανακληθέν πιστοποιητικό χρειάζεται CRL που κάθε διακομιστής πραγματικά διαβάζει, και ένας απενεργοποιημένος λογαριασμός χρειάζεται το σύστημα ταυτοποίησης να τον αρνηθεί στην επόμενη σύνδεση και όχι στον επόμενο συγχρονισμό.

Κανένας από τους μηχανισμούς δεν γίνεται ασφαλής επειδή υπάρχει. Το ερώτημα είναι ποιον κύκλο ζωής μπορεί η ομάδα να λειτουργεί με συνέπεια.

Τι σπάει όταν χαθεί μια συσκευή

Για έναν χαμένο φορητό υπολογιστή, αφαιρέστε την εξουσιοδότηση που χρησιμοποίησε πραγματικά εκείνη η συσκευή. Η επαναφορά κωδικού δεν ανακαλεί το πιστοποιητικό του και η έκδοση νέου πιστοποιητικού δεν αλλάζει κωδικό άσχετου λογαριασμού. Οι ξεχωριστές ταυτότητες ανά συσκευή καθιστούν δυνατή τη στοχευμένη αφαίρεση, ενώ τα κοινά διαπιστευτήρια σημαίνουν ότι η απόσυρση μιας συσκευής επηρεάζει αρκετές. Γράψτε τη διαδικασία ανάκτησης για κάθε μηχανισμό πριν τη χρειαστείτε, συμπεριλαμβανομένου του ποιος μπορεί να υπογράψει πιστοποιητικό αντικατάστασης εκτός ωραρίου.

Εξασκηθείτε στη διαδρομή ανάκλησης αντί να την υποθέσετε: ανακαλέστε μια δοκιμαστική ταυτότητα, επιβεβαιώστε ότι ο διακομιστής την αρνείται σε νέα σύνδεση και μετά επαναφέρετέ την. Μια διαδικασία ανάκλησης που δεν έχει εξασκηθεί ποτέ τείνει να αποτυγχάνει ακριβώς όταν χρειάζεται.

Λειτουργία και των δύο χωρίς διπλασιασμό της δουλειάς

Πολλές εγκαταστάσεις συνδυάζουν σκόπιμα τα δύο: πιστοποιητικό για τη συσκευή και διαπιστευτήριο λογαριασμού για το πρόσωπο, ώστε ένα κλεμμένο φορητό να μην αρκεί και ένας διερρηγμένος κωδικός να μην αρκεί. Ο συνδυασμός αποδίδει μόνο όταν οι δύο κύκλοι ζωής μένουν χωριστοί και οι δύο είναι αυτοματοποιημένοι. Αλλιώς το helpdesk τρέχει δύο ουρές και το όφελος ασφάλειας μένει θεωρητικό.

Επιλέξτε τη μέθοδο που υποστηρίζουν πραγματικά οι πελάτες της υπηρεσίας και τα εργαλεία διαχείρισης. Η αποδυνάμωση της επαλήθευσης ώστε να συνδεθεί ένα αταίριαστο προφίλ αντιστρέφει όλο το νόημα, και ένα προφίλ που επεξεργάστηκε μέχρι να συνδεθεί είναι συχνά ένα που δεν ελέγχει πλέον αυτό για το οποίο φτιάχτηκε.

Καταγράψτε ποια απόδειξη απαιτεί κάθε εγκατάσταση και πώς ανακαλείται η καθεμία. Το επόμενο περιστατικό θα ζητήσει ακριβώς αυτό.