VPN лозинки наспроти клиентски сертификати: што се обновува побрзо

Едно распоредување бара корисничко име и лозинка, друго клиентски сертификат, а трето и двете. Изборот менува многу повеќе од прозорецот за најава: тој одлучува како се издаваат акредитивите, како истекуваат, како изгледа обновувањето во 2 часот наутро и кој може да го отповика пристапот за точно еден уред. Споредете го оперативниот животен циклус, а не дијалогот.

Лозинката е тајна на сметката што ја проверува процес за автентикација, додека сертификатот е идентитет плус доказ за поседување на неговиот приватен клуч. Тоа се различни објекти со различни режими на отказ.

Два различни докази, два различни прозорци

Лозинката докажува знаење на заедничка тајна, затоа серверот споредува хеш и животниот циклус го поседува сметководниот систем. Сертификатот докажува поседување приватен клуч, а серверот проверува синџир на потписи до CA што го доверува. Вториот може да идентификува уред наместо личност, затоа распоредувањата често издаваат по еден на лаптоп. Лозинката што штити датотека со клуч е повторно трета работа: ја чува датотеката во мирување и не е лозинка на VPN сметката.

Проверката на серверот останува неопходна во секоја комбинација. Валидните акредитиви испратени до крајна точка чиј идентитет повеќе не го проверувате се уште се акредитиви предадени на тој што одговорил, затоа проверката на серверскиот сертификат припаѓа во основниот профил, а не во чекор за решавање проблеми.

Издавањето, истекувањето и отповикувањето се вистинскиот трошок

Лозинките се евтини за издавање и скапи за поддршка: ресетирања, политика, повторна употреба и редот на помошната служба. Сертификатите го преместуваат тој трошок напред, каде што се потребни CA, процес за потпишување и канал за дистрибуција, а потоа додаваат календар за истекување што никој не го памети. Двете бараат планирано отповикување. Отповикан сертификат бара CRL што секој сервер навистина го чита, а деактивирана сметка бара автентикациската заднина да ја одбие при следното поврзување, а не при следната синхронизација.

Ниту еден механизам не станува безбеден само затоа што постои. Прашањето е кој животен циклус тимот може доследно да го води.

Што се крши кога уредот се губи

За изгубен лаптоп, отстранете ја авторизацијата што тој уред навистина ја користел. Ресетирањето на лозинката не го отповикува неговиот сертификат, а издавањето нов сертификат не ја менува лозинката на неповрзана сметка. Одделните идентитети по уред овозможуваат насочено отстранување, додека споделените акредитиви значат дека отстранувањето на еден уред влијае на неколку. Напишете ја постапката за обновување за секој механизам пред да ви треба, вклучително кој може да потпише заменски сертификат надвор од работното време.

Вежбајте ја патеката на отповикување наместо да ја претпоставувате: отповикајте тест идентитет, потврдете дека серверот го одбива при ново поврзување, потоа вратете го. Процес на отповикување што никогаш не е вежбан обично откажува токму кога е потребен.

Водење на двете без удвојување на работата

Многу распоредувања намерно ги комбинираат двете: сертификат за уредот и акредитив за сметката на лицето, така што украден лаптоп не е доволен и истечена лозинка не е доволна. Таа комбинација се исплати само кога двата животни циклуси остануваат одделни и двата се автоматизирани. Инаку помошната служба води два реда, а безбедносната добивка останува теоретска.

Изберете го методот што клиентите на услугата и алатките за управување навистина го поддржуваат. Ослабувањето на проверката за да се поврзе несоодветен профил ја превртува целата поента, и профил уредуван додека не се поврзе често е таков што повеќе не проверува тоа за што е изграден.

Запишете кој доказ го бара секое распоредување и како секој се отповикува. Следниот инцидент ќе го побара токму тоа.