Password VPN o certificati client: cosa si ripristina più in fretta

Una distribuzione chiede nome utente e password, un’altra un certificato client, una terza entrambi. La scelta cambia molto più della finestra di accesso: decide come vengono emesse le credenziali, come scadono, che aspetto ha il ripristino alle 2 di notte e chi può revocare l’accesso per esattamente un dispositivo. Confrontate il ciclo di vita operativo, non la finestra di dialogo.

Una password è un segreto dell’account convalidato da un processo di autenticazione, mentre un certificato è un’identità più la prova del possesso della sua chiave privata. Sono oggetti diversi con modalità di errore diverse.

Due prove diverse, due finestre diverse

Una password dimostra la conoscenza di un segreto condiviso, quindi il server confronta un hash e il sistema degli account possiede il ciclo di vita. Un certificato dimostra il possesso di una chiave privata, e il server verifica una catena di firme fino a una CA di cui si fida. Il secondo può identificare un dispositivo invece di una persona, per questo le distribuzioni spesso ne emettono uno per portatile. Una passphrase che protegge un file di chiave è ancora una terza cosa: custodisce il file a riposo e non è la password dell’account VPN.

La verifica del server resta necessaria in ogni combinazione. Credenziali valide inviate a un endpoint di cui avete smesso di controllare l’identità restano credenziali consegnate a chi ha risposto, per questo il controllo del certificato del server appartiene al profilo di base e non a un passaggio di risoluzione dei problemi.

Emissione, scadenza e revoca sono il vero costo

Le password sono economiche da emettere e costose da supportare: reimpostazioni, criteri, riutilizzo e la coda del supporto. I certificati spostano questo costo all’inizio, dove servono una CA, un processo di firma e un canale di distribuzione, e poi aggiungono un calendario di scadenza che nessuno ricorda. Entrambi richiedono una revoca pianificata. Un certificato revocato ha bisogno di una CRL che ogni server legga davvero, e un account disattivato ha bisogno che il backend di autenticazione lo rifiuti alla connessione successiva e non alla sincronizzazione successiva.

Nessuno dei due meccanismi diventa sicuro perché esiste. La domanda è quale ciclo di vita il team può gestire in modo coerente.

Cosa si rompe quando un dispositivo va perso

Per un portatile smarrito, rimuovete l’autorizzazione che quel dispositivo ha effettivamente usato. Una reimpostazione della password non revoca il suo certificato, e l’emissione di un nuovo certificato non cambia la password di un account non correlato. Identità separate per dispositivo rendono possibile una rimozione mirata, mentre credenziali condivise significano che rimuovere un dispositivo ne coinvolge diversi. Scrivete la procedura di ripristino per ogni meccanismo prima di averne bisogno, incluso chi può firmare un certificato sostitutivo fuori dall’orario di lavoro.

Esercitate il percorso di revoca invece di darlo per scontato: revocate un’identità di test, confermate che il server la rifiuti su una nuova connessione, poi ripristinatela. Un processo di revoca mai esercitato tende a fallire proprio quando serve.

Gestire entrambi senza raddoppiare il lavoro

Molte distribuzioni combinano deliberatamente i due: un certificato per il dispositivo e una credenziale di account per la persona, così un portatile rubato non basta e una password trapelata non basta. Quella combinazione conviene solo quando i due cicli di vita restano separati ed entrambi sono automatizzati. Altrimenti il supporto gestisce due code e il guadagno di sicurezza resta teorico.

Scegliete il metodo che i client del servizio e gli strumenti di gestione supportano davvero. Indebolire la verifica per far connettere un profilo non corrispondente inverte l’intero senso, e un profilo modificato finché non si connette è spesso uno che non controlla più ciò per cui è stato costruito.

Annotate quale prova richiede ogni distribuzione e come ciascuna viene revocata. Il prossimo incidente chiederà esattamente questo.