VPN-wachtwurden tsjin kliïntsertifikaten: wat herstelt flugger

Ien ynset freget om in brûkersnamme en wachtwurd, in oar om in kliïntsertifikaat, en in tredde om beide. De kar feroaret folle mear as it oanmeldskerm: it beslút hoe’t bewizen útjûn wurde, hoe’t se ferrinne, hoe’t werstel der om 2 oere nachts útsjocht en wa’t tagong foar krekt ien apparaat yntrekke kin. Ferlykje de operasjonele libbenssyklus ynstee fan it dialoochfinster.

In wachtwurd is in accountgeheim dat troch in autentikaasjeproses falidearre wurdt, wylst in sertifikaat in identiteit plus bewiis fan besit fan syn priveesleutel is. Dat binne ferskillende objekten mei ferskillende flatermodi.

Twa ferskillende bewizen, twa ferskillende skermen

In wachtwurd bewiist kennis fan in dield geheim, dus ferliket de tsjinner in hash en it accountsysteem hat de libbenssyklus. In sertifikaat bewiist besit fan in priveesleutel, en de tsjinner ferifiearret in ûndertekeningketen nei in CA dêr’t er op fertrout. It twadde kin in apparaat ynstee fan in persoan identifisearje, wêrom’t ynsetten faak ien per laptop útjouwe. In wachtfrase dy’t in sleutelfaai beskermet is wer in tredde ding: it bewachtet de faai yn rêst en is net it VPN-accountwachtwurd.

Tsjinnerferifikaasje bliuwt yn elke kombinaasje needsaaklik. Jildige bewizen stjoerd nei in einpunt waans identiteit jo ophâlden te kontrolearjen binne noch altyd bewizen dy’t jûn wurde oan wa’t antwurde, wêrom’t de tsjinner-sertifikaatkontrôle yn it basisprofyl heart en net yn in probleemoplossingsstap.

Útjefte, ferrin en yntrekken binne de echte kosten

Wachtwurden binne goedkeap út te jaan en djoer te stypjen: weromsetten, belied, wergebrûk en de helpdeskwachtrige. Sertifikaten ferpleatse dy kosten nei foaren, dêr’t jo in CA, in ûndertekeningsproses en in distribúsjekanaal nedich hawwe, en foegje dan in ferrinkalinder ta dy’t nimmen ûnthâldt. Beide hawwe pland yntrekken nedich. In yntrokken sertifikaat hat in CRL nedich dy’t elke tsjinner echt lêst, en in útskeakele account hat nedich dat de autentikaasje-backend it by de folgjende ferbining wegeret en net by de folgjende syngronisaasje.

Gjin fan de meganismen wurdt feilich om’t it bestiet. De fraach is hokker libbenssyklus it team konsekwint betsjinje kin.

Wat brekt as in apparaat ferlern giet

Foar in ferlern laptop, ferwiderje de autorisaasje dy’t dat apparaat echt brûkte. In wachtwurdweromsetten yntrekt syn sertifikaat net, en it útjaan fan in nij sertifikaat feroaret net in net-relatearre accountwachtwurd. Aparte identiteiten per apparaat meitsje in rjochte ferwidering mooglik, wylst dielde bewizen betsjutte dat it ôfskieden fan ien apparaat ferskate rekket. Skriuw de werstelproseduere foar elk meganisme foardat jo it nedich hawwe, ynklusyf wa’t bûten kantoaroeren in ferfangend sertifikaat ûndertekenje kin.

Oefenje it yntrekkingspaad ynstee fan it oan te nimmen: yntrek in testidentiteit, befêstigje dat de tsjinner it by in nije ferbining wegeret, en werstel it dan. In yntrekkingsproses dat nea oefene is, mislearret ornaris krekt as it nedich is.

Beide betsjinje sûnder it wurk te ferdûbeljen

In protte ynsetten kombinearje de beide bewust: in sertifikaat foar it apparaat en in accountbewiis foar de persoan, sadat in stellen laptop net genôch is en in lek wachtwurd net genôch is. Dy kombinaasje betellet him allinnich as de twa libbenssyklussen skieden bliuwe en beide automatisearre binne. Oars draait de helpdesk twa wachtrigen en bliuwt de feilichheidswinst teoretysk.

Kies de metoade dy’t de kliïnten fan ’e tsjinst en de beheartools echt stypje. Ferifikaasje ferswakje sadat in net-passend profyl ferbine kin draait it hiele punt om, en in profyl dat bewurke is oant it ferbynt is faak ien dat net mear kontrolearret wêrfoar it boud is.

Notearje hokker bewiis elke ynset freget en hoe’t elts yntrokken wurdt. It folgjende ynsidint sil krekt dat freegje.