Contraseñas VPN frente a certificados de cliente: qué se recupera más rápido

Un despliegue pide nombre de usuario y contraseña, otro un certificado de cliente y un tercero ambos. La elección cambia mucho más que el cuadro de inicio de sesión: decide cómo se emiten las credenciales, cómo caducan, cómo se ve la recuperación a las 2 de la madrugada y quién puede revocar el acceso de exactamente un dispositivo. Compare el ciclo de vida operativo y no el cuadro de diálogo.

Una contraseña es un secreto de cuenta validado por un proceso de autenticación, mientras que un certificado es una identidad más la prueba de posesión de su clave privada. Son objetos distintos con modos de fallo distintos.

Dos pruebas distintas, dos cuadros distintos

Una contraseña demuestra el conocimiento de un secreto compartido, así que el servidor compara un hash y el sistema de cuentas posee el ciclo de vida. Un certificado demuestra la posesión de una clave privada, y el servidor verifica una cadena de firmas hasta una CA en la que confía. El segundo puede identificar un dispositivo en lugar de una persona, por eso los despliegues suelen emitir uno por portátil. Una frase de paso que protege un archivo de clave es otra tercera cosa: guarda el archivo en reposo y no es la contraseña de la cuenta VPN.

La verificación del servidor sigue siendo necesaria en cualquier combinación. Unas credenciales válidas enviadas a un extremo cuya identidad usted dejó de comprobar siguen siendo credenciales entregadas a quien respondió, por eso la comprobación del certificado del servidor pertenece al perfil básico y no a un paso de solución de problemas.

La emisión, la caducidad y la revocación son el coste real

Las contraseñas son baratas de emitir y caras de mantener: restablecimientos, políticas, reutilización y la cola del servicio de asistencia. Los certificados trasladan ese coste al principio, donde se necesita una CA, un proceso de firma y un canal de distribución, y luego añaden un calendario de caducidad que nadie recuerda. Ambos necesitan una revocación planificada. Un certificado revocado necesita una CRL que cada servidor lea de verdad, y una cuenta desactivada necesita que el backend de autenticación la rechace en la próxima conexión y no en la próxima sincronización.

Ninguno de los mecanismos se vuelve seguro por existir. La pregunta es qué ciclo de vida puede operar el equipo de forma coherente.

Qué se rompe cuando se pierde un dispositivo

Para un portátil perdido, elimine la autorización que ese dispositivo usó realmente. Restablecer la contraseña no revoca su certificado, y emitir un certificado nuevo no cambia la contraseña de una cuenta no relacionada. Las identidades separadas por dispositivo permiten una retirada dirigida, mientras que las credenciales compartidas hacen que retirar un dispositivo afecte a varios. Escriba el procedimiento de recuperación para cada mecanismo antes de necesitarlo, incluido quién puede firmar un certificado de sustitución fuera del horario laboral.

Practique la ruta de revocación en lugar de suponerla: revoque una identidad de prueba, confirme que el servidor la rechaza en una conexión nueva y luego restáurela. Un proceso de revocación que nunca se practica tiende a fallar justo cuando se necesita.

Operar ambos sin duplicar el trabajo

Muchos despliegues combinan ambos a propósito: un certificado para el dispositivo y una credencial de cuenta para la persona, de modo que un portátil robado no basta y una contraseña filtrada tampoco. Esa combinación compensa solo cuando los dos ciclos de vida permanecen separados y ambos están automatizados. De lo contrario, el servicio de asistencia gestiona dos colas y la ganancia de seguridad sigue siendo teórica.

Elija el método que los clientes del servicio y las herramientas de gestión admitan realmente. Debilitar la verificación para que un perfil desajustado se conecte invierte todo el sentido, y un perfil editado hasta que se conecta suele ser uno que ya no comprueba aquello para lo que se construyó.

Anote qué prueba exige cada despliegue y cómo se revoca cada una. El próximo incidente preguntará exactamente por eso.