VPN პაროლები კლიენტის სერტიფიკატების წინააღმდეგ: რა უფრო სწრაფად აღდგება
პაროლი და სერტიფიკატი სხვადასხვა რამეს ამტკიცებს და სხვადასხვა ადგილას მარცხდება. შეადარეთ გაცემა, ვადის გასვლა და გაუქმება მათ შერწყმამდე.
ერთი განლაგება ითხოვს მომხმარებლის სახელსა და პაროლს, მეორე კლიენტის სერტიფიკატს, მესამე კი ორივეს. არჩევანი ბევრად მეტს ცვლის, ვიდრე შესვლის ფანჯარა: ის განსაზღვრავს, როგორ გაიცემა რწმუნებები, როგორ იწურება, როგორ გამოიყურება აღდგენა ღამის 2 საათზე და ვის შეუძლია წვდომის გაუქმება ზუსტად ერთი მოწყობილობისთვის. შეადარეთ ოპერაციული სიცოცხლის ციკლი და არა დიალოგის ფანჯარა.
პაროლი არის ანგარიშის საიდუმლო, რომელსაც ავთენტიფიკაციის პროცესი ამოწმებს, ხოლო სერტიფიკატი არის იდენტობა პლუს მისი კერძო გასაღების ფლობის მტკიცებულება. ეს სხვადასხვა ობიექტია სხვადასხვა მარცხის რეჟიმით.
ორი განსხვავებული მტკიცებულება, ორი განსხვავებული ფანჯარა
პაროლი ამტკიცებს საერთო საიდუმლოს ცოდნას, ამიტომ სერვერი ადარებს ჰეშს და სიცოცხლის ციკლს ანგარიშების სისტემა ფლობს. სერტიფიკატი ამტკიცებს კერძო გასაღების ფლობას და სერვერი ამოწმებს ხელმოწერების ჯაჭვს მისთვის სანდო CA-მდე. მეორეს შეუძლია მოწყობილობის იდენტიფიცირება და არა ადამიანის, ამიტომ განლაგებები ხშირად თითო ლეპტოპზე ერთს გასცემენ. გასაღების ფაილის დამცავი პაროლური ფრაზა კიდევ მესამე რამ არის: ის იცავს ფაილს მოსვენებაში და არ არის VPN ანგარიშის პაროლი.
სერვერის შემოწმება აუცილებელი რჩება ყველა კომბინაციაში. სწორი რწმუნებები, რომლებიც იგზავნება იმ ბოლო წერტილზე, რომლის იდენტობასაც აღარ ამოწმებთ, მაინც იმ პირისთვის გადაცემული რწმუნებებია, ვინც უპასუხა, ამიტომ სერვერის სერტიფიკატის შემოწმება ძირითად პროფილს ეკუთვნის და არა პრობლემების აღმოფხვრის საფეხურს.
გაცემა, ვადის გასვლა და გაუქმება ნამდვილი ღირებულებაა
პაროლების გაცემა იაფია და მხარდაჭერა ძვირი: აღდგენები, პოლიტიკა, ხელახალი გამოყენება და დახმარების სამსახურის რიგი. სერტიფიკატები ამ ხარჯს წინ გადააქვთ, სადაც საჭიროა CA, ხელმოწერის პროცესი და განაწილების არხი, შემდეგ კი ემატება ვადის გასვლის კალენდარი, რომელიც არავის ახსოვს. ორივეს სჭირდება დაგეგმილი გაუქმება. გაუქმებულ სერტიფიკატს სჭირდება CRL, რომელსაც ყოველი სერვერი ნამდვილად კითხულობს, ხოლო გამორთულ ანგარიშს სჭირდება, რომ ავთენტიფიკაციის უკანა ნაწილმა ის უარყოს შემდეგ კავშირზე და არა შემდეგ სინქრონიზაციაზე.
არც ერთი მექანიზმი უსაფრთხო არ ხდება მხოლოდ იმიტომ, რომ არსებობს. კითხვა ისაა, რომელი სიცოცხლის ციკლი შეუძლია გუნდს თანმიმდევრულად მართოს.
რა ფუჭდება, როცა მოწყობილობა იკარგება
დაკარგული ლეპტოპისთვის წაშალეთ ავტორიზაცია, რომელიც ამ მოწყობილობამ ნამდვილად გამოიყენა. პაროლის აღდგენა არ აუქმებს მის სერტიფიკატს, ხოლო ახალი სერტიფიკატის გაცემა არ ცვლის დაუკავშირებელი ანგარიშის პაროლს. მოწყობილობაზე ცალკეული იდენტობები მიზნობრივ წაშლას შესაძლებელს ხდის, ხოლო საერთო რწმუნებები ნიშნავს, რომ ერთი მოწყობილობის გაყვანა რამდენიმეზე მოქმედებს. დაწერეთ აღდგენის პროცედურა თითოეული მექანიზმისთვის სანამ დაგჭირდებათ, მათ შორის ვის შეუძლია სამუშაო საათების გარეთ შემცვლელი სერტიფიკატის ხელმოწერა.
ივარჯიშეთ გაუქმების გზაზე და ნუ ჩათვლით მას ცნობილად: გააუქმეთ საცდელი იდენტობა, დაადასტურეთ, რომ სერვერი უარყოფს მას ახალ კავშირზე, შემდეგ აღადგინეთ. არასდროს გავარჯიშებული გაუქმების პროცესი ჩვეულებრივ ზუსტად მაშინ მარცხდება, როცა საჭიროა.
ორივეს მართვა სამუშაოს გაორმაგების გარეშე
ბევრი განლაგება განზრახ აერთიანებს ორივეს: სერტიფიკატი მოწყობილობისთვის და ანგარიშის რწმუნება პიროვნებისთვის, რათა მოპარული ლეპტოპი არ იყოს საკმარისი და გაჟონილი პაროლი არც იყოს საკმარისი. ეს კომბინაცია მხოლოდ მაშინ იხდის თავს, როცა ორი სიცოცხლის ციკლი განცალკევებული რჩება და ორივე ავტომატიზებულია. წინააღმდეგ შემთხვევაში დახმარების სამსახური ორ რიგს მართავს და უსაფრთხოების მოგება თეორიული რჩება.
აირჩიეთ მეთოდი, რომელსაც სერვისის კლიენტები და მართვის ხელსაწყოები ნამდვილად მხარს უჭერენ. შემოწმების დასუსტება, რომ შეუთავსებელი პროფილი დაუკავშირდეს, მთელ აზრს აბრუნებს, და პროფილი, რომელიც დარედაქტირდა სანამ დაუკავშირდებოდა ხშირად ისეთია, რომელიც აღარ ამოწმებს იმას, რისთვისაც შეიქმნა.
ჩაწერეთ, რა მტკიცებულება სჭირდება თითოეულ განლაგებას და როგორ უქმდება თითოეული. შემდეგი ინციდენტი ზუსტად ამას იკითხავს.