VPN paroles pret klienta sertifikātiem: kas atjaunojas ātrāk

Viena ieviešana pieprasa lietotājvārdu un paroli, cita klienta sertifikātu, trešā abus. Izvēle maina daudz ko vairāk nekā pieteikšanās logs: tā nosaka, kā tiek izsniegti akreditācijas dati, kā tie beidzas, kā izskatās atjaunošana pulksten 2 naktī un kurš var atsaukt piekļuvi tieši vienai ierīcei. Salīdziniet darbības dzīves ciklu, nevis dialoga logu.

Parole ir konta noslēpums, ko pārbauda autentifikācijas process, savukārt sertifikāts ir identitāte plus tās privātās atslēgas piederības pierādījums. Tie ir dažādi objekti ar dažādiem atteices režīmiem.

Divi dažādi pierādījumi, divi dažādi logi

Parole pierāda zināšanas par kopīgu noslēpumu, tāpēc serveris salīdzina jaucējvērtību un dzīves ciklu pārvalda kontu sistēma. Sertifikāts pierāda privātās atslēgas piederību, un serveris pārbauda parakstu ķēdi līdz CA, kuram uzticas. Otrais var identificēt ierīci, nevis personu, tāpēc ieviešanas bieži izsniedz vienu uz klēpjdatoru. Atslēgas failu aizsargājošā piekļuves frāze ir atkal trešā lieta: tā sargā failu miera stāvoklī un nav VPN konta parole.

Servera pārbaude paliek nepieciešama jebkurā kombinācijā. Derīgi akreditācijas dati, kas nosūtīti galapunktam, kura identitāti jūs vairs nepārbaudāt, joprojām ir dati, kas nodoti tam, kurš atbildēja, tāpēc servera sertifikāta pārbaude pieder pamata profilam, nevis problēmu novēršanas solim.

Izsniegšana, derīguma beigas un atsaukšana ir reālās izmaksas

Paroles ir lēti izsniegt un dārgi uzturēt: atiestatīšana, politika, atkārtota lietošana un atbalsta dienesta rinda. Sertifikāti pārvieto šīs izmaksas uz priekšu, kur nepieciešams CA, parakstīšanas process un izplatīšanas kanāls, un pēc tam pievieno derīguma beigu kalendāru, ko neviens neatceras. Abiem nepieciešama plānota atsaukšana. Atsauktam sertifikātam nepieciešams CRL, ko katrs serveris tiešām lasa, un atspējotam kontam nepieciešams, lai autentifikācijas aizmugure to noraidītu nākamajā savienojumā, nevis nākamajā sinhronizācijā.

Neviens mehānisms nekļūst drošs tikai tāpēc, ka pastāv. Jautājums ir, kuru dzīves ciklu komanda spēj konsekventi pārvaldīt.

Kas salūzt, kad ierīce tiek pazaudēta

Pazaudētam klēpjdatoram noņemiet autorizāciju, ko šī ierīce tiešām izmantoja. Paroles atiestatīšana neatsauc tās sertifikātu, un jauna sertifikāta izsniegšana nemaina nesaistīta konta paroli. Atsevišķas identitātes katrai ierīcei ļauj mērķtiecīgi noņemt, savukārt kopīgi akreditācijas dati nozīmē, ka vienas ierīces izņemšana ietekmē vairākas. Uzrakstiet atjaunošanas procedūru katram mehānismam pirms tā nepieciešamības, tostarp to, kurš ārpus darba laika var parakstīt aizvietošanas sertifikātu.

Trenējiet atsaukšanas ceļu, nevis pieņemiet to: atsauciet testa identitāti, apstipriniet, ka serveris to noraida jaunā savienojumā, pēc tam atjaunojiet. Nekad netrenēts atsaukšanas process mēdz neizdoties tieši tad, kad tas nepieciešams.

Pārvaldīt abus, nedublējot darbu

Daudzas ieviešanas apzināti apvieno abus: sertifikātu ierīcei un konta akreditācijas datus personai, lai nozagts klēpjdators nebūtu pietiekami un noplūdusi parole arī nebūtu pietiekami. Šī kombinācija atmaksājas tikai tad, ja abi dzīves cikli paliek atsevišķi un abi ir automatizēti. Citādi atbalsta dienests pārvalda divas rindas, un drošības ieguvums paliek teorētisks.

Izvēlieties metodi, ko pakalpojuma klienti un pārvaldības rīki tiešām atbalsta. Pārbaudes vājināšana, lai neatbilstošs profils varētu savienoties, apgriež visu jēgu, un profils, kas rediģēts, līdz tas savienojas, bieži ir tāds, kas vairs nepārbauda to, kam tas tika būvēts.

Pierakstiet, kādu pierādījumu prasa katra ieviešana un kā katrs tiek atsaukts. Nākamais incidents prasīs tieši to.