VPNのパスワードとクライアント証明書：どちらが早く復旧するか

ある配備ではユーザー名とパスワードを求め、別の配備ではクライアント証明書を求め、三つ目では両方を求めます。この選択はログイン画面以上に多くのものを変え、資格情報がどう発行され、どう失効し、午前2時の復旧がどう見え、誰がたった一台のデバイスのアクセスを取り消せるかを決めます。ダイアログボックスではなく、運用上のライフサイクルを比較してください。

パスワードは認証プロセスによって検証されるアカウントの秘密であり、証明書は身元とその秘密鍵の所有証明です。両者は異なるオブジェクトで、故障の仕方も異なります。

二つの異なる証明、二つの異なる画面

パスワードは共有秘密の知識を証明するため、サーバーはハッシュを比較し、ライフサイクルはアカウントシステムが所有します。証明書は秘密鍵の所有を証明し、サーバーは信頼するCAまでの署名チェーンを検証します。後者は人ではなくデバイスを識別できるため、配備ではノートPCごとに一枚発行することがよくあります。鍵ファイルを保護するパスフレーズはさらに別物で、保存中のファイルを守るものであり、VPNアカウントのパスワードではありません。

サーバー検証はどの組み合わせでも必要です。身元の確認をやめたエンドポイントに送られる有効な資格情報は、結局応答した相手に渡された資格情報であり、だからこそサーバー証明書の確認は、トラブルシューティングの手順ではなく基本プロファイルに入るべきです。

発行・失効・取り消しこそ実際のコストです

パスワードは発行が安く、サポートが高くつきます：リセット、ポリシー、使い回し、ヘルプデスクの待ち行列です。証明書はそのコストを前倒しにし、CA、署名プロセス、配布チャネルが必要になり、さらに誰も覚えていない失効カレンダーが加わります。どちらも計画的な取り消しが必要です。取り消された証明書には、すべてのサーバーが実際に読むCRLが必要であり、無効化されたアカウントは、次の同期時ではなく次の接続時に認証バックエンドが拒否する必要があります。

どちらの仕組みも、存在するだけで安全になるわけではありません。問いは、チームがどのライフサイクルを一貫して運用できるかです。

デバイスを紛失したときに壊れるもの

ノートPCを紛失したら、そのデバイスが実際に使っていた認可を外します。パスワードのリセットではその証明書は取り消されず、新しい証明書を発行しても無関係なアカウントのパスワードは変わりません。デバイスごとに別の身元を持たせれば的を絞った削除が可能になり、資格情報を共有していると一台の除外が複数に影響します。必要になる前に、各仕組みの復旧手順を、営業時間外に誰が代替証明書に署名できるかも含めて書いておきましょう。

取り消しの経路は想定せずに演習し、テスト用の身元を取り消して、新しい接続でサーバーが拒否することを確認してから復元します。一度も演習していない取り消しプロセスは、まさに必要なときに失敗しがちです。

作業を二重にせず両方を運用する

多くの配備では意図的に両方を組み合わせ、デバイスには証明書、人にはアカウント資格情報を持たせて、盗まれたノートPCだけでは足りず、漏れたパスワードだけでも足りないようにします。この組み合わせが報われるのは、二つのライフサイクルが分離されたままで、両方が自動化されている場合だけです。そうでなければヘルプデスクは二つの待ち行列を抱え、セキュリティ上の利得は理論上のものにとどまります。

サービスのクライアントと管理ツールが実際にサポートする方式を選んでください。不一致なプロファイルをつなぐために検証を弱めるのは本末転倒であり、つながるまで編集されたプロファイルは、本来確認すべきことをもはや確認していないことがよくあります。

各配備がどの証明を必要とし、それぞれをどう取り消すかを記録してください。次のインシデントはまさにそれを尋ねてきます。