گذرواژه‌های VPN در برابر گواهی‌های کلاینت: کدام سریع‌تر بازیابی می‌شود

یک استقرار نام کاربری و گذرواژه می‌خواهد، دیگری گواهی کلاینت و سومی هر دو را. این انتخاب بسیار بیشتر از کادر ورود را تغییر می‌دهد: تعیین می‌کند اعتبارنامه‌ها چگونه صادر می‌شوند، چگونه منقضی می‌شوند، بازیابی در ساعت 2 بامداد چگونه است و چه کسی می‌تواند دسترسی را دقیقاً برای یک دستگاه باطل کند. چرخه عمر عملیاتی را مقایسه کنید، نه کادر محاوره را.

گذرواژه راز یک حساب است که فرایند احراز هویت آن را اعتبارسنجی می‌کند، در حالی که گواهی هویت به‌همراه اثبات مالکیت کلید خصوصی آن است. این‌ها اشیای متفاوتی با حالت‌های شکست متفاوت‌اند.

دو اثبات متفاوت، دو کادر متفاوت

گذرواژه اثبات دانستن یک راز مشترک است، بنابراین سرور یک هش را مقایسه می‌کند و سامانه حساب مالک چرخه عمر است. گواهی اثبات مالکیت کلید خصوصی است و سرور زنجیره امضا را تا CA مورد اعتمادش بررسی می‌کند. دومی می‌تواند دستگاه را به‌جای شخص شناسایی کند، از این رو استقرارها اغلب برای هر لپ‌تاپ یکی صادر می‌کنند. عبارت عبوری که از یک پرونده کلید محافظت می‌کند باز چیز سومی است: از پرونده در حالت سکون محافظت می‌کند و گذرواژه حساب VPN نیست.

بررسی سرور در هر ترکیبی لازم می‌ماند. اعتبارنامه‌های معتبری که به نقطه‌ای فرستاده می‌شوند که هویت آن را دیگر بررسی نمی‌کنید، همچنان اعتبارنامه‌هایی هستند که به هر کس پاسخ داده تحویل شده‌اند، از این رو بررسی گواهی سرور به پروفایل پایه تعلق دارد نه به مرحله عیب‌یابی.

صدور، انقضا و ابطال هزینه واقعی است

گذرواژه‌ها ارزان صادر می‌شوند و گران پشتیبانی می‌شوند: بازنشانی‌ها، سیاست، استفاده مجدد و صف میز پشتیبانی. گواهی‌ها آن هزینه را به جلو می‌برند، جایی که به CA، فرایند امضا و کانال توزیع نیاز دارید، و سپس تقویم انقضایی اضافه می‌کنند که کسی آن را به یاد نمی‌آورد. هر دو به ابطال برنامه‌ریزی‌شده نیاز دارند. گواهی باطل‌شده به CRL نیاز دارد که هر سرور واقعاً آن را بخواند، و حساب غیرفعال‌شده به این نیاز دارد که بخش پشتیبان احراز هویت آن را در اتصال بعدی رد کند نه در همگام‌سازی بعدی.

هیچ‌یک از این سازوکارها فقط به‌خاطر وجودش امن نمی‌شود. پرسش این است که تیم کدام چرخه عمر را می‌تواند به‌طور پیوسته اداره کند.

وقتی دستگاهی گم می‌شود چه می‌شکند

برای لپ‌تاپ گمشده، مجوزی را بردارید که آن دستگاه واقعاً استفاده کرده است. بازنشانی گذرواژه گواهی آن را باطل نمی‌کند و صدور گواهی جدید گذرواژه یک حساب نامرتبط را تغییر نمی‌دهد. هویت‌های جداگانه برای هر دستگاه حذف هدفمند را ممکن می‌کنند، در حالی که اعتبارنامه‌های مشترک یعنی خارج کردن یک دستگاه چند دستگاه را تحت تأثیر قرار می‌دهد. رویه بازیابی را برای هر سازوکار پیش از نیاز نوشتن کنید، از جمله اینکه چه کسی می‌تواند بیرون از ساعات کاری گواهی جایگزین را امضا کند.

مسیر ابطال را تمرین کنید نه اینکه فرض کنید: یک هویت آزمایشی را باطل کنید، تأیید کنید که سرور در اتصال تازه آن را رد می‌کند، سپس آن را بازگردانید. فرایند ابطالی که هرگز تمرین نشده باشد معمولاً دقیقاً وقتی لازم است شکست می‌خورد.

اجرای هر دو بدون دو برابر کردن کار

بسیاری از استقرارها آگاهانه هر دو را ترکیب می‌کنند: گواهی برای دستگاه و اعتبارنامه حساب برای شخص، تا لپ‌تاپ دزدیده‌شده کافی نباشد و گذرواژه لو رفته هم کافی نباشد. این ترکیب تنها زمانی می‌ارزد که دو چرخه عمر جدا بمانند و هر دو خودکار شوند. در غیر این صورت میز پشتیبانی دو صف دارد و سود امنیتی نظری می‌ماند.

روشی را انتخاب کنید که کلاینت‌های سرویس و ابزارهای مدیریت واقعاً پشتیبانی می‌کنند. تضعیف بررسی برای وصل شدن یک پروفایل ناسازگار کل هدف را وارونه می‌کند، و پروفایلی که تا وصل شدن ویرایش شده اغلب دیگر چیزی را که برای بررسی آن ساخته شده بررسی نمی‌کند.

ثبت کنید هر استقرار چه اثباتی می‌خواهد و هر یک چگونه باطل می‌شود. رویداد بعدی دقیقاً همین را می‌پرسد.