VPN құпиясөздері клиент сертификаттарына қарсы: қайсысы тезірек қалпына келеді

Бір орналастыру пайдаланушы аты мен құпиясөзді талап етеді, екіншісі клиент сертификатын, үшіншісі екеуін де. Таңдау кіру терезесінен әлдеқайда көп нәрсені өзгертеді: тіркелгі деректерінің қалай берілетінін, қалай мерзімі бітетінін, түнгі сағат 2-де қалпына келтіру қандай болатынын және дәл бір құрылғының рұқсатын кім қайтарып ала алатынын анықтайды. Диалог терезесін емес, операциялық өмірлік циклді салыстырыңыз.

Құпиясөз — аутентификация процесі тексеретін тіркелгі құпиясы, ал сертификат — сәйкестендіру және оның жеке кілтіне иелік ету дәлелі. Бұл әртүрлі сәтсіздік режимдері бар әртүрлі нысандар.

Екі түрлі дәлел, екі түрлі терезе

Құпиясөз ортақ құпияны білетінін дәлелдейді, сондықтан сервер хэшті салыстырады және өмірлік цикл тіркелгі жүйесіне тиесілі. Сертификат жеке кілтке иелік етуді дәлелдейді, ал сервер сенетін CA-ға дейінгі қолтаңбалар тізбегін тексереді. Екіншісі адамның емес, құрылғының сәйкестігін анықтай алады, сондықтан орналастырулар көбіне әр ноутбукке бір-бірден береді. Кілт файлын қорғайтын құпиясөз тіркесі үшінші нәрсе: ол файлды тыныштықта күзетеді және VPN тіркелгісінің құпиясөзі емес.

Серверді тексеру кез келген комбинацияда қажет болып қалады. Сәйкестігін тексеруді тоқтатқан соңғы нүктеге жіберілетін жарамды тіркелгі деректері әлі де жауап берген адамға тапсырылған деректер, сондықтан сервер сертификатын тексеру ақаулықтарды жою қадамына емес, негізгі профильге жатады.

Беру, мерзімінің бітуі және қайтарып алу нақты шығын

Құпиясөздерді беру арзан, оларды қолдау қымбат: қайта орнату, саясат, қайта пайдалану және анықтама қызметінің кезегі. Сертификаттар бұл шығынды алға жылжытады, онда CA, қол қою процесі және тарату арнасы қажет, содан кейін ешкім есте сақтамайтын мерзім бітетін күнтізбе қосылады. Екеуіне де жоспарлы қайтарып алу қажет. Қайтарып алынған сертификатқа әр сервер шынымен оқитын CRL қажет, ал өшірілген тіркелгіге аутентификацияның артқы бөлігі оны келесі синхрондауда емес, келесі қосылымда қабылдамауы қажет.

Механизмдердің ешқайсысы тек бар болғаны үшін қауіпсіз болмайды. Мәселе команданың қай өмірлік циклді дәйекті түрде жүргізе алатынында.

Құрылғы жоғалғанда не бұзылады

Жоғалған ноутбук үшін сол құрылғы шынымен пайдаланған авторизацияны жойыңыз. Құпиясөзді қайта орнату оның сертификатын қайтарып алмайды, ал жаңа сертификат беру байланысы жоқ тіркелгінің құпиясөзін өзгертпейді. Құрылғы бойынша бөлек сәйкестіктер мақсатты жоюды мүмкін етеді, ал ортақ тіркелгі деректері бір құрылғыны шығару бірнешеуіне әсер ететінін білдіреді. Әр механизм үшін қалпына келтіру рәсімін қажет болмай тұрып жазыңыз, оның ішінде жұмыс уақытынан тыс ауыстыру сертификатына кім қол қоя алатыны.

Қайтарып алу жолын болжаудың орнына жаттығыңыз: сынақ сәйкестігін қайтарып алыңыз, сервер оны жаңа қосылымда қабылдамайтынын растаңыз, содан кейін қалпына келтіріңіз. Ешқашан жаттықпаған қайтарып алу процесі дәл қажет болған сәтте сәтсіздікке ұшырауға бейім.

Жұмысты екі еселемей екеуін де жүргізу

Көптеген орналастырулар екеуін әдейі біріктіреді: құрылғыға сертификат және адамға тіркелгі деректері, сондықтан ұрланған ноутбук жеткіліксіз және ағып кеткен құпиясөз де жеткіліксіз. Бұл комбинация екі өмірлік цикл бөлек қалғанда және екеуі де автоматтандырылғанда ғана өтеледі. Әйтпесе анықтама қызметі екі кезек жүргізеді және қауіпсіздік пайдасы теориялық күйінде қалады.

Қызмет клиенттері мен басқару құралдары шынымен қолдайтын әдісті таңдаңыз. Сәйкес емес профиль қосылуы үшін тексеруді әлсірету бүкіл мәнді төңкеріп тастайды, және қосылғанға дейін өңделген профиль көбіне енді өзі үшін құрылған нәрсені тексермейтін профиль болады.

Әр орналастыру қандай дәлелді талап ететінін және әрқайсысының қалай қайтарып алынатынын жазып қойыңыз. Келесі оқиға дәл соны сұрайды.