VPN lozinke nasuprot klijentskim certifikatima: što se brže oporavlja

Jedna instalacija traži korisničko ime i lozinku, druga klijentski certifikat, a treća oboje. Izbor mijenja mnogo više od prijavnog okvira: određuje kako se izdaju vjerodajnice, kako istječu, kako izgleda oporavak u 2 sata ujutro i tko može opozvati pristup za točno jedan uređaj. Usporedite operativni životni ciklus, a ne dijaloški okvir.

Lozinka je tajna računa koju provjerava proces autentifikacije, dok je certifikat identitet plus dokaz posjedovanja njegova privatnog ključa. To su različiti objekti s različitim načinima zatajenja.

Dva različita dokaza, dva različita upita

Lozinka dokazuje znanje zajedničke tajne, pa poslužitelj uspoređuje hash i računski sustav posjeduje životni ciklus. Certifikat dokazuje posjedovanje privatnog ključa, a poslužitelj provjerava lanac potpisa do CA kojemu vjeruje. Drugi može identificirati uređaj umjesto osobe, zato instalacije često izdaju po jedan po prijenosnom računalu. Lozinka koja štiti datoteku ključa opet je treća stvar: čuva datoteku u mirovanju i nije lozinka VPN računa.

Provjera poslužitelja ostaje nužna u svakoj kombinaciji. Važeće vjerodajnice poslane na odredište čiji identitet više ne provjeravate i dalje su vjerodajnice predane onome tko je odgovorio, zato provjera certifikata poslužitelja pripada osnovnom profilu, a ne koraku rješavanja problema.

Izdavanje, istek i opoziv pravi su trošak

Lozinke je jeftino izdavati i skupo podržavati: poništavanja, politika, ponovna uporaba i red helpdeska. Certifikati premještaju taj trošak naprijed, gdje trebaju CA, proces potpisivanja i kanal distribucije, a zatim dodaju kalendar isteka kojeg se nitko ne sjeća. Oboje treba planirani opoziv. Opozvani certifikat treba CRL koji svaki poslužitelj stvarno čita, a onemogućen račun treba da ga autentifikacijski backend odbije pri sljedećoj vezi, a ne pri sljedećoj sinkronizaciji.

Nijedan mehanizam ne postaje siguran zato što postoji. Pitanje je koji životni ciklus tim može dosljedno voditi.

Što se kvari kada se uređaj izgubi

Za izgubljeno prijenosno računalo uklonite autorizaciju koju je taj uređaj stvarno koristio. Poništavanje lozinke ne opoziva njegov certifikat, a izdavanje novog certifikata ne mijenja lozinku nepovezanog računa. Odvojeni identiteti po uređaju omogućuju ciljano uklanjanje, dok zajedničke vjerodajnice znače da uklanjanje jednog uređaja pogađa nekoliko. Napišite postupak oporavka za svaki mehanizam prije nego što vam zatreba, uključujući tko može potpisati zamjenski certifikat izvan radnog vremena.

Vježbajte put opoziva umjesto da ga pretpostavljate: opozovite testni identitet, potvrdite da ga poslužitelj odbija na novoj vezi, pa ga vratite. Proces opoziva koji nikad nije vježban obično zataji točno kada je potreban.

Voditi oboje bez udvostručavanja posla

Mnoge instalacije namjerno kombiniraju oboje: certifikat za uređaj i vjerodajnicu računa za osobu, tako da ukradeno prijenosno računalo nije dovoljno i procurjela lozinka nije dovoljna. Ta se kombinacija isplati samo kada dva životna ciklusa ostanu odvojena i oba automatizirana. Inače helpdesk vodi dva reda, a sigurnosna dobit ostaje teorijska.

Odaberite metodu koju klijenti usluge i alati za upravljanje stvarno podržavaju. Slabljenje provjere da bi se neusklađeni profil povezao obrće cijelu poantu, a profil uređivan dok se ne poveže često je onaj koji više ne provjerava ono zbog čega je napravljen.

Zabilježite koji dokaz svaka instalacija zahtijeva i kako se svaki opoziva. Sljedeći će incident tražiti upravo to.