VPN-pasvortoj kontraŭ klientaj atestiloj: kio reakiriĝas pli rapide

Unu deplojo petas uzantnomon kaj pasvorton, alia klientan atestilon, kaj tria ambaŭ. La elekto ŝanĝas multe pli ol la ensaluta fenestro: ĝi decidas kiel identigiloj eldoniĝas, kiel ili eksvalidiĝas, kiel aspektas restaŭrado je la 2-a matene kaj kiu povas revoki aliron por precize unu aparato. Komparu la operacian vivciklon anstataŭ la dialogfenestron.

Pasvorto estas konta sekreto validigata per aŭtentiga procezo, dum atestilo estas identeco plus pruvo de posedo de sia privata ŝlosilo. Tiuj estas malsamaj objektoj kun malsamaj fiaskmanieroj.

Du malsamaj pruvoj, du malsamaj petoj

Pasvorto pruvas scion de komuna sekreto, do la servilo komparas haketaĵon kaj la kontosistemo posedas la vivciklon. Atestilo pruvas posedon de privata ŝlosilo, kaj la servilo kontrolas subskriban ĉenon ĝis CA, kiun ĝi fidas. La dua povas identigi aparaton anstataŭ personon, kio estas kial deplojoj ofte eldonas unu por ĉiu tekkomputilo. Pasfrazo protektanta ŝlosildosieron estas denove tria afero: ĝi gardas la dosieron en ripozo kaj ne estas la VPN-konta pasvorto.

Servila kontrolo restas necesa en ĉiu kombino. Validaj identigiloj senditaj al finpunkto, kies identecon vi ĉesis kontroli, ankoraŭ estas identigiloj transdonitaj al tiu, kiu respondis, kio estas kial la kontrolo de servila atestilo apartenas al la baza profilo anstataŭ al problemtraktada paŝo.

Eldonado, eksvalidiĝo kaj revokado estas la reala kosto

Pasvortojn estas malmultekoste eldoni kaj multekoste subteni: restarigoj, politiko, reuzo kaj la atendovico de la helpa servo. Atestiloj movas tiun koston antaŭen, kie vi bezonas CA, subskriban procezon kaj distribukan kanalon, kaj poste aldonas eksvalidiĝan kalendaron, kiun neniu memoras. Ambaŭ bezonas planitan revokadon. Revokita atestilo bezonas CRL, kiun ĉiu servilo efektive legas, kaj malŝaltita konto bezonas, ke la aŭtentiga ĝisfunda sistemo rifuzu ĝin ĉe la sekva konekto anstataŭ ĉe la sekva sinkronigo.

Neniu el la mekanismoj fariĝas sekura nur ĉar ĝi ekzistas. La demando estas, kiun vivciklon la teamo povas funkciigi konsekvence.

Kio rompiĝas, kiam aparato perdiĝas

Por perdita tekkomputilo, forigu la rajtigon, kiun tiu aparato efektive uzis. Pasvorta restarigo ne revokas ĝian atestilon, kaj eldono de nova atestilo ne ŝanĝas la pasvorton de senrilata konto. Apartaj identecoj por ĉiu aparato ebligas celitan forigon, dum komunaj identigiloj signifas, ke forigo de unu aparato tuŝas plurajn. Skribu la restaŭran proceduron por ĉiu mekanismo antaŭ ol vi bezonos ĝin, inkluzive de kiu povas subskribi anstataŭan atestilon ekster labortempo.

Ekzercu la revokan vojon anstataŭ supozi ĝin: revoku testan identecon, konfirmu ke la servilo rifuzas ĝin ĉe nova konekto, kaj poste restarigu ĝin. Revoka procezo neniam ekzercita emas malsukcesi ĝuste kiam ĝi estas bezonata.

Funkciigi ambaŭ sen duobligi la laboron

Multaj deplojoj intence kombinas la du: atestilon por la aparato kaj kontan identigilon por la persono, tiel ke ŝtelita tekkomputilo ne sufiĉas kaj likita pasvorto ne sufiĉas. Tiu kombino pagiĝas nur kiam la du vivcikloj restas apartaj kaj ambaŭ estas aŭtomatigitaj. Alie la helpa servo funkciigas du atendovicojn kaj la sekureca gajno restas teoria.

Elektu la metodon, kiun la klientoj de la servo kaj la administraj iloj efektive subtenas. Malfortigi la kontrolon por ke malkongrua profilo konektiĝu inversigas la tutan sencon, kaj profilo redaktita ĝis ĝi konektiĝas ofte estas tiu, kiu jam ne kontrolas tion, por kio ĝi estis konstruita.

Notu, kiun pruvon ĉiu deplojo postulas kaj kiel ĉiu revokiĝas. La sekva incidento petos precize tion.