VPN slaptažodžiai prieš klientų sertifikatus: kas atsistato greičiau

Vienas diegimas prašo vartotojo vardo ir slaptažodžio, kitas – kliento sertifikato, trečias – abiejų. Pasirinkimas keičia daug ką daugiau nei prisijungimo langas: jis nusprendžia, kaip išduodami prisijungimo duomenys, kaip jie baigia galioti, kaip atrodo atkūrimas 2 valandą nakties ir kas gali atšaukti prieigą tiksliai vienam įrenginiui. Palyginkite operacinį gyvavimo ciklą, o ne dialogo langą.

Slaptažodis yra paskyros paslaptis, kurią tikrina autentifikavimo procesas, o sertifikatas – tapatybė ir jo privataus rakto turėjimo įrodymas. Tai skirtingi objektai su skirtingais gedimo būdais.

Du skirtingi įrodymai, du skirtingi langai

Slaptažodis įrodo bendros paslapties žinojimą, todėl serveris lygina maišą, o gyvavimo ciklą valdo paskyrų sistema. Sertifikatas įrodo privataus rakto turėjimą, ir serveris tikrina parašų grandinę iki CA, kuriuo pasitiki. Antrasis gali identifikuoti įrenginį, o ne asmenį, todėl diegimai dažnai išduoda po vieną nešiojamajam kompiuteriui. Raktinį failą saugantis slaptafrazis yra dar trečias dalykas: jis saugo failą ramybės būsenoje ir nėra VPN paskyros slaptažodis.

Serverio tikrinimas išlieka būtinas bet kurioje kombinacijoje. Galiojantys prisijungimo duomenys, siunčiami į galinį tašką, kurio tapatybės nebetikrinate, vis tiek yra duomenys, perduoti tam, kas atsakė, todėl serverio sertifikato tikrinimas priklauso baziniam profiliui, o ne trikčių šalinimo žingsniui.

Išdavimas, galiojimo pabaiga ir atšaukimas yra tikroji kaina

Slaptažodžius išduoti pigu, o palaikyti brangu: atstatymai, politika, pakartotinis naudojimas ir pagalbos tarnybos eilė. Sertifikatai perkelia šią kainą į priekį, kur reikia CA, pasirašymo proceso ir platinimo kanalo, o po to prideda galiojimo pabaigos kalendorių, kurio niekas neatsimena. Abu reikalauja suplanuoto atšaukimo. Atšauktam sertifikatui reikia CRL, kurį kiekvienas serveris tikrai skaito, o išjungtai paskyrai reikia, kad autentifikavimo sistema ją atmestų kitame prisijungime, o ne kitoje sinchronizacijoje.

Nė vienas mechanizmas netampa saugus vien todėl, kad egzistuoja. Klausimas, kokį gyvavimo ciklą komanda gali nuosekliai valdyti.

Kas lūžta, kai įrenginys pametamas

Dėl pamesto nešiojamojo kompiuterio pašalinkite autorizaciją, kurią tas įrenginys tikrai naudojo. Slaptažodžio atstatymas neatšaukia jo sertifikato, o naujo sertifikato išdavimas nepakeičia nesusijusios paskyros slaptažodžio. Atskiri kiekvieno įrenginio tapatumai leidžia tikslingai pašalinti, o bendri prisijungimo duomenys reiškia, kad vieno įrenginio pašalinimas paveikia kelis. Parašykite atkūrimo procedūrą kiekvienam mechanizmui prieš jai prireikus, įskaitant tai, kas gali pasirašyti pakaitinį sertifikatą ne darbo valandomis.

Praktikuokite atšaukimo kelią, o ne manykite jį: atšaukite bandomąjį tapatumą, patvirtinkite, kad serveris jo atsisako naujame prisijungime, tada atkurkite. Niekada nepraktikuotas atšaukimo procesas linkęs žlugti būtent tada, kai jo reikia.

Valdyti abu nedvigubinant darbo

Daugelis diegimų sąmoningai derina abu: sertifikatą įrenginiui ir paskyros prisijungimo duomenis asmeniui, kad pavogto nešiojamojo kompiuterio nepakaktų ir nutekėjusio slaptažodžio nepakaktų. Šis derinys atsiperka tik tada, kai abu gyvavimo ciklai lieka atskiri ir abu automatizuoti. Priešingu atveju pagalbos tarnyba valdo dvi eiles, o saugumo nauda lieka teorinė.

Pasirinkite metodą, kurį paslaugos klientai ir valdymo priemonės tikrai palaiko. Tikrinimo silpninimas, kad prisijungtų netinkamas profilis, apverčia visą prasmę, ir profilis, redaguotas tol, kol prisijungė, dažnai yra toks, kuris nebetikrina to, kam buvo sukurtas.

Užrašykite, kokio įrodymo reikalauja kiekvienas diegimas ir kaip kiekvienas atšaukiamas. Kitas incidentas prašys būtent to.