VPN-paroolid versus kliendisertifikaadid: mis taastub kiiremini

Üks juurutus küsib kasutajanime ja parooli, teine kliendisertifikaati ja kolmas mõlemat. Valik muudab palju enamat kui sisselogimisaken: see otsustab, kuidas mandaate väljastatakse, kuidas need aeguvad, milline näeb välja taastamine kell 2 öösel ja kes saab tühistada juurdepääsu täpselt ühele seadmele. Võrrelge tööprotsessi elutsüklit, mitte dialoogiakent.

Parool on konto saladus, mida valideerib autentimisprotsess, samas kui sertifikaat on identiteet pluss tõestus selle privaatvõtme valdamisest. Need on erinevad objektid erinevate tõrkerežiimidega.

Kaks erinevat tõestust, kaks erinevat akent

Parool tõestab teadmist ühisest saladusest, seega server võrdleb räsi ja konto süsteem omab elutsüklit. Sertifikaat tõestab privaatvõtme valdamist ja server kontrollib allkirjaahelat kuni CA-ni, mida ta usaldab. Teine suudab tuvastada seadet, mitte inimest, mistõttu juurutused väljastavad sageli ühe sülearvuti kohta. Võtmefaili kaitsvat paroolifraasi on jälle kolmas asi: see valvab faili puhkeolekus ega ole VPN-konto parool.

Serveri kontrollimine on vajalik igas kombinatsioonis. Kehtivad mandaadid, mis saadetakse lõpp-punkti, mille identiteeti te enam ei kontrolli, on endiselt mandaadid, mis antakse sellele, kes vastas, mistõttu kuulub serverisertifikaadi kontroll põhiprofiili, mitte veaotsingu sammu.

Väljaandmine, aegumine ja tühistamine on tegelik kulu

Paroole on odav väljastada ja kallis toetada: lähtestamised, poliitika, korduskasutus ja kasutajatoe järjekord. Sertifikaadid liigutavad selle kulu ette, kus on vaja CA-d, allkirjastamisprotsessi ja levikanalit, ning lisavad seejärel aegumiskalendri, mida keegi ei mäleta. Mõlemad vajavad kavandatud tühistamist. Tühistatud sertifikaat vajab CRL-i, mida iga server tegelikult loeb, ja keelatud konto vajab, et autentimise taustsüsteem keelduks sellest järgmisel ühendusel, mitte järgmisel sünkroonimisel.

Kumbki mehhanism ei muutu turvaliseks seetõttu, et see olemas on. Küsimus on, millist elutsüklit meeskond suudab järjekindlalt hallata.

Mis läheb katki, kui seade kaob

Kaotatud sülearvuti puhul eemaldage volitus, mida see seade tegelikult kasutas. Parooli lähtestamine ei tühista selle sertifikaati ja uue sertifikaadi väljastamine ei muuda mitteseotud konto parooli. Eraldi identiteedid seadme kohta võimaldavad sihitud eemaldamist, samas kui jagatud mandaadid tähendavad, et ühe seadme väljaviimine mõjutab mitut. Kirjutage taastamisprotseduur iga mehhanismi jaoks enne, kui seda vajate, sealhulgas kes saab väljaspool tööaega asendussertifikaati allkirjastada.

Harjutage tühistamise teekonda selle oletamise asemel: tühistage testidentiteet, kinnitage, et server keeldub sellest uuel ühendusel, ja seejärel taastage see. Tühistamisprotsess, mida pole kunagi harjutatud, kipub ebaõnnestuma täpselt siis, kui seda vajatakse.

Mõlema käitamine tööd kahekordistamata

Paljud juurutused kombineerivad mõlemat teadlikult: sertifikaat seadmele ja konto mandaat inimesele, nii et varastatud sülearvutist ei piisa ja lekkinud paroolist ei piisa. See kombinatsioon tasub end ära ainult siis, kui kaks elutsüklit jäävad eraldi ja mõlemad on automatiseeritud. Vastasel juhul peab kasutajatugi kahte järjekorda ja turvakasu jääb teoreetiliseks.

Valige meetod, mida teenuse kliendid ja haldustööriistad tegelikult toetavad. Kontrolli nõrgendamine, et sobimatu profiil ühenduks, pöörab kogu mõtte ümber, ja profiil, mida redigeeriti, kuni see ühendus, on sageli selline, mis ei kontrolli enam seda, mille jaoks see loodi.

Kirjutage üles, millist tõestust iga juurutus nõuab ja kuidas igaüks tühistatakse. Järgmine intsident küsib täpselt seda.