VPN-jelszavak kontra ügyféltanúsítványok: melyik áll helyre gyorsabban

Az egyik telepítés felhasználónevet és jelszót kér, a másik ügyféltanúsítványt, a harmadik mindkettőt. A választás sokkal többet változtat a bejelentkezési ablaknál: eldönti, hogyan adják ki a hitelesítő adatokat, hogyan járnak le, milyen a helyreállítás hajnali 2-kor, és ki tudja visszavonni a hozzáférést pontosan egy eszközhöz. Az üzemi életciklust hasonlítsa össze, ne a párbeszédablakot.

A jelszó egy fióktitok, amelyet egy hitelesítési folyamat ellenőriz, míg a tanúsítvány egy identitás plusz a privát kulcsa birtoklásának bizonyítéka. Ezek különböző objektumok, különböző hiba módokkal.

Két különböző bizonyíték, két különböző ablak

A jelszó egy megosztott titok ismeretét bizonyítja, ezért a kiszolgáló hash-t hasonlít össze, és az életciklus a fiókrendszer tulajdona. A tanúsítvány egy privát kulcs birtoklását bizonyítja, és a kiszolgáló egy általa megbízott CA-ig ellenőrzi az aláírásláncot. A második eszközt képes azonosítani személy helyett, ezért a telepítések gyakran egyet adnak ki laptoponként. A kulcsfájlt védő jelmondat megint egy harmadik dolog: a fájlt nyugalmi állapotban őrzi, és nem a VPN-fiók jelszava.

A kiszolgáló ellenőrzése minden kombinációban szükséges marad. Az érvényes hitelesítő adatok, amelyeket egy olyan végpontnak küld, amelynek identitását már nem ellenőrzi, továbbra is azoknak adják át a hitelesítő adatokat, akik válaszoltak, ezért a kiszolgáló-tanúsítvány ellenőrzése az alapvető profilba tartozik, nem egy hibaelhárítási lépésbe.

A kiállítás, a lejárat és a visszavonás az igazi költség

A jelszavakat olcsó kiállítani és drága támogatni: visszaállítások, szabályzat, újrafelhasználás és a helpdesk sora. A tanúsítványok előrehozzák ezt a költséget, ahol CA, aláírási folyamat és terjesztési csatorna kell, majd hozzáadnak egy lejárati naptárat, amelyre senki sem emlékszik. Mindkettőnek tervezett visszavonásra van szüksége. A visszavont tanúsítványnak olyan CRL kell, amelyet minden kiszolgáló valóban olvas, a letiltott fióknak pedig az kell, hogy a hitelesítési háttér a következő kapcsolatnál utasítsa el, nem a következő szinkronizálásnál.

Egyik mechanizmus sem lesz biztonságos attól, hogy létezik. A kérdés az, melyik életciklust tudja a csapat következetesen működtetni.

Mi törik el, amikor egy eszköz elveszik

Egy elveszett laptop esetén távolítsa el azt az engedélyezést, amelyet az az eszköz valóban használt. A jelszó visszaállítása nem vonja vissza a tanúsítványát, és egy új tanúsítvány kiállítása nem változtat meg egy független fiók jelszavát. Az eszközönkénti külön identitások lehetővé teszik a célzott eltávolítást, míg a megosztott hitelesítő adatok azt jelentik, hogy egy eszköz kivezetése többet érint. Írja le a helyreállítási eljárást minden mechanizmushoz, mielőtt szüksége lenne rá, beleértve azt is, ki írhat alá csere-tanúsítványt munkaidőn kívül.

Gyakorolja a visszavonási útvonalat ahelyett, hogy feltételezné: vonjon vissza egy tesztidentitást, erősítse meg, hogy a kiszolgáló új kapcsolatnál elutasítja, majd állítsa helyre. A soha nem gyakorolt visszavonási folyamat hajlamos pontosan akkor meghiúsulni, amikor szükség van rá.

Mindkettő működtetése a munka megkettőzése nélkül

Sok telepítés szándékosan kombinálja a kettőt: tanúsítvány az eszköznek és fiók-hitelesítő adat a személynek, így egy ellopott laptop nem elég, és egy kiszivárgott jelszó sem elég. Ez a kombináció csak akkor térül meg, ha a két életciklus külön marad, és mindkettő automatizált. Különben a helpdesk két sort vezet, és a biztonsági nyereség elméleti marad.

Válassza azt a módszert, amelyet a szolgáltatás kliensei és a felügyeleti eszközök valóban támogatnak. Az ellenőrzés gyengítése, hogy egy nem illő profil csatlakozhasson, az egész értelmet fordítja vissza, és egy profil, amelyet addig szerkesztettek, amíg csatlakozott, gyakran olyan, amely már nem ellenőrzi azt, amire épült.

Jegyezze fel, milyen bizonyítékot igényel az egyes telepítések, és hogyan vonják vissza mindegyiket. A következő incidens pontosan ezt fogja kérdezni.