Kata sandi VPN versus sertifikat klien: mana yang pulih lebih cepat

Satu penerapan meminta nama pengguna dan kata sandi, yang lain sertifikat klien, dan yang ketiga keduanya. Pilihan ini mengubah jauh lebih banyak daripada kotak masuk: ia menentukan bagaimana kredensial diterbitkan, bagaimana kedaluwarsa, bagaimana pemulihan terlihat pada pukul 2 pagi, dan siapa yang dapat mencabut akses untuk tepat satu perangkat. Bandingkan siklus hidup operasional, bukan kotak dialog.

Kata sandi adalah rahasia akun yang divalidasi oleh proses autentikasi, sedangkan sertifikat adalah identitas plus bukti kepemilikan kunci privatnya. Keduanya objek berbeda dengan mode kegagalan berbeda.

Dua bukti berbeda, dua kotak berbeda

Kata sandi membuktikan pengetahuan rahasia bersama, jadi server membandingkan hash dan sistem akun memiliki siklus hidupnya. Sertifikat membuktikan kepemilikan kunci privat, dan server memverifikasi rantai tanda tangan hingga ke CA yang dipercayanya. Yang kedua dapat mengidentifikasi perangkat alih-alih orang, itulah sebabnya penerapan sering menerbitkan satu per laptop. Frasa sandi yang melindungi file kunci adalah hal ketiga lagi: ia menjaga file saat diam dan bukan kata sandi akun VPN.

Verifikasi server tetap diperlukan dalam setiap kombinasi. Kredensial valid yang dikirim ke titik akhir yang identitasnya sudah berhenti Anda periksa tetap merupakan kredensial yang diserahkan kepada siapa pun yang menjawab, itulah sebabnya pemeriksaan sertifikat server termasuk dalam profil dasar, bukan dalam langkah pemecahan masalah.

Penerbitan, kedaluwarsa, dan pencabutan adalah biaya sebenarnya

Kata sandi murah diterbitkan dan mahal didukung: pengaturan ulang, kebijakan, penggunaan ulang, dan antrean helpdesk. Sertifikat memindahkan biaya itu ke depan, tempat Anda membutuhkan CA, proses penandatanganan, dan saluran distribusi, lalu menambahkan kalender kedaluwarsa yang tidak diingat siapa pun. Keduanya memerlukan pencabutan yang direncanakan. Sertifikat yang dicabut memerlukan CRL yang benar-benar dibaca setiap server, dan akun yang dinonaktifkan memerlukan backend autentikasi untuk menolaknya pada koneksi berikutnya, bukan pada sinkronisasi berikutnya.

Tidak ada mekanisme yang menjadi aman karena keberadaannya. Pertanyaannya adalah siklus hidup mana yang dapat dijalankan tim secara konsisten.

Apa yang rusak saat perangkat hilang

Untuk laptop yang hilang, hapus otorisasi yang benar-benar digunakan perangkat itu. Pengaturan ulang kata sandi tidak mencabut sertifikatnya, dan penerbitan sertifikat baru tidak mengubah kata sandi akun yang tidak terkait. Identitas terpisah per perangkat memungkinkan penghapusan tertarget, sedangkan kredensial bersama berarti menonaktifkan satu perangkat memengaruhi beberapa. Tulis prosedur pemulihan untuk setiap mekanisme sebelum Anda membutuhkannya, termasuk siapa yang dapat menandatangani sertifikat pengganti di luar jam kerja.

Latih jalur pencabutan alih-alih menganggapnya: cabut identitas uji, pastikan server menolaknya pada koneksi baru, lalu pulihkan. Proses pencabutan yang tidak pernah dilatih cenderung gagal tepat saat dibutuhkan.

Menjalankan keduanya tanpa menggandakan pekerjaan

Banyak penerapan sengaja menggabungkan keduanya: sertifikat untuk perangkat dan kredensial akun untuk orang, sehingga laptop yang dicuri tidak cukup dan kata sandi yang bocor juga tidak cukup. Kombinasi itu membuahkan hasil hanya jika kedua siklus hidup tetap terpisah dan keduanya otomatis. Jika tidak, helpdesk menjalankan dua antrean dan keuntungan keamanan tetap teoretis.

Pilih metode yang benar-benar didukung klien layanan dan alat manajemen. Melemahkan verifikasi agar profil yang tidak cocok dapat terhubung membalik seluruh maksud, dan profil yang diedit sampai bisa terhubung sering kali adalah profil yang tidak lagi memeriksa apa yang seharusnya diperiksa.

Catat bukti apa yang dibutuhkan setiap penerapan dan bagaimana masing-masing dicabut. Insiden berikutnya akan menanyakan tepat itu.