סיסמאות VPN מול אישורי לקוח: מה מתאושש מהר יותר

פריסה אחת מבקשת שם משתמש וסיסמה, אחרת אישור לקוח, ושלישית את שניהם. הבחירה משנה הרבה יותר מתיבת ההתחברות: היא קובעת כיצד מונפקים פרטי הזיהוי, כיצד הם פגים, איך נראה שחזור בשעה 2 בלילה ומי יכול לשלול גישה בדיוק למכשיר אחד. השוו את מחזור החיים התפעולי ולא את תיבת הדו-שיח.

סיסמה היא סוד חשבון שמאומת בתהליך אימות, ואילו אישור הוא זהות בתוספת הוכחת בעלות על המפתח הפרטי שלו. אלה אובייקטים שונים עם דפוסי כשל שונים.

שתי הוכחות שונות, שתי תיבות שונות

סיסמה מוכיחה ידיעה של סוד משותף, ולכן השרת משווה גיבוב ומערכת החשבונות מחזיקה במחזור החיים. אישור מוכיח בעלות על מפתח פרטי, והשרת מאמת שרשרת חתימות עד ל-CA שהוא סומך עליו. השני יכול לזהות מכשיר ולא אדם, ולכן פריסות מנפיקות לעתים קרובות אחד לכל מחשב נייד. ביטוי סיסמה שמגן על קובץ מפתח הוא דבר שלישי: הוא שומר על הקובץ במנוחה ואינו סיסמת חשבון ה-VPN.

אימות השרת נשאר הכרחי בכל שילוב. פרטי זיהוי תקפים שנשלחים לנקודת קצה שהפסקתם לבדוק את זהותה הם עדיין פרטי זיהוי שנמסרו למי שהשיב, ולכן בדיקת אישור השרת שייכת לפרופיל הבסיסי ולא לשלב פתרון תקלות.

הנפקה, תפוגה ושלילה הם העלות האמיתית

סיסמאות זולות להנפיק ויקרות לתמוך: איפוסים, מדיניות, שימוש חוזר ותור שירות העזרה. אישורים מעבירים את העלות הזו לחזית, שם צריך CA, תהליך חתימה וערוץ הפצה, ואז מוסיפים לוח שנה לתפוגה שאיש אינו זוכר. שניהם זקוקים לשלילה מתוכננת. אישור שנשלל זקוק ל-CRL שכל שרת באמת קורא, וחשבון שהושבת זקוק לכך שקצה האימות יסרב לו בחיבור הבא ולא בסנכרון הבא.

אף אחד מהמנגנונים לא הופך למאובטח מפני שהוא קיים. השאלה היא איזה מחזור חיים הצוות יכול להפעיל בעקביות.

מה נשבר כשמכשיר הולך לאיבוד

עבור מחשב נייד שאבד, הסירו את ההרשאה שהמכשיר הזה השתמש בה בפועל. איפוס סיסמה אינו שולל את האישור שלו, והנפקת אישור חדש אינה משנה סיסמה של חשבון לא קשור. זהויות נפרדות לכל מכשיר מאפשרות הסרה ממוקדת, בעוד שפרטי זיהוי משותפים פירושם שהסרת מכשיר אחד משפיעה על כמה. כתבו את נוהל השחזור לכל מנגנון לפני שתזדקקו לו, כולל מי יכול לחתום על אישור חלופי מחוץ לשעות העבודה.

תרגלו את מסלול השלילה במקום להניח אותו: שללו זהות בדיקה, ודאו שהשרת מסרב לה בחיבור חדש, ואז שחזרו אותה. תהליך שלילה שמעולם לא תורגל נוטה להיכשל בדיוק כשצריך אותו.

להפעיל את שניהם בלי להכפיל את העבודה

פריסות רבות משלבות את השניים במכוון: אישור למכשיר ופרטי זיהוי חשבון לאדם, כך שמחשב נייד גנוב אינו מספיק וסיסמה שדלפה אינה מספיקה. השילוב משתלם רק כששני מחזורי החיים נשארים נפרדים ושניהם אוטומטיים. אחרת שירות העזרה מנהל שני תורים והרווח הביטחוני נשאר תיאורטי.

בחרו בשיטה שלקוחות השירות וכלי הניהול תומכים בה בפועל; החלשת האימות כדי שפרופיל לא מתאים יתחבר הופכת את כל הנקודה. פרופיל שעודכן עד שהתחבר הוא לעתים קרובות כזה שכבר אינו בודק את מה שלמענו נבנה.

תעדו איזו הוכחה כל פריסה דורשת וכיצד כל אחת נשללת. התקרית הבאה תשאל בדיוק את זה.