Kliem sigrieti VPN kontra ċertifikati tal-klijent: liema jirkupra aktar malajr

Implimentazzjoni waħda titlob isem tal-utent u kliem sigriet, oħra ċertifikat tal-klijent, u t-tielet it-tnejn. L-għażla tinbidel ferm aktar mill-kaxxa tal-login: tiddetermina kif jinħarġu l-kredenzjali, kif jiskadu, kif tidher l-irkupru fis-2 ta’ filgħodu u min jista’ jirrevoka l-aċċess għal apparat wieħed eżatt. Qabbel iċ-ċiklu tal-ħajja operattiv, mhux id-dialog.

Kliem sigriet huwa sigriet tal-kont ivvalidat minn proċess ta’ awtentikazzjoni, filwaqt li ċertifikat huwa identità flimkien ma’ prova tal-pussess tal-muftieħ privat tiegħu. Dawn huma oġġetti differenti b’modijiet ta’ falliment differenti.

Żewġ provi differenti, żewġ kaxxi differenti

Kliem sigriet jipprova l-għarfien ta’ sigriet kondiviż, għalhekk is-server iqabbel hash u s-sistema tal-kontijiet tippossjedi ċ-ċiklu tal-ħajja. Ċertifikat jipprova l-pussess ta’ muftieħ privat, u s-server jivverifika katina ta’ firem sa CA li jafda. It-tieni jista’ jidentifika apparat minflok persuna, u għalhekk l-implimentazzjonijiet spiss joħorġu wieħed għal kull laptop. Passphrase li tipproteġi fajl tal-muftieħ hija għal darb’oħra it-tielet ħaġa: tħares il-fajl fil-mistrieħ u mhix il-kliem sigriet tal-kont VPN.

Il-verifika tas-server tibqa’ meħtieġa f’kull kombinazzjoni. Kredenzjali validi mibgħuta lil punt finali li l-identità tiegħu waqaft tivverifika xorta huma kredenzjali mogħtija lil min wieġeb, u għalhekk il-verifika taċ-ċertifikat tas-server tappartjeni għall-profil bażiku u mhux għal pass ta’ soluzzjoni ta’ problemi.

Il-ħruġ, l-iskadenza u r-revoka huma l-ispiża reali

Kliem sigriet huwa rħis jinħareġ u għali jiġi appoġġjat: reset, politika, użu mill-ġdid u l-kju tad-desk tal-għajnuna. Iċ-ċertifikati jċaqilqu dik l-ispiża ’l quddiem, fejn għandek bżonn CA, proċess ta’ firem u kanal ta’ distribuzzjoni, u mbagħad iżidu kalendarju tal-iskadenza li ħadd ma jiftakar. It-tnejn jeħtieġu revoka ppjanata. Ċertifikat revokat jeħtieġ CRL li kull server fil-fatt jaqra, u kont diżattivat jeħtieġ li l-backend tal-awtentikazzjoni jirrifjutah fil-konnessjoni li jmiss u mhux fis-sinkronizzazzjoni li jmiss.

L-ebda mekkaniżmu ma jsir sigur għax jeżisti. Il-mistoqsija hija liema ċiklu tal-ħajja t-tim jista’ jopera b’mod konsistenti.

X’jinqasam meta apparat jintilef

Għal laptop mitluf, neħħi l-awtorizzazzjoni li dak l-apparat fil-fatt uża. Reset tal-kliem sigriet ma jirrevokax iċ-ċertifikat tiegħu, u l-ħruġ ta’ ċertifikat ġdid ma jbiddilx il-kliem sigriet ta’ kont mhux relatat. Identitajiet separati għal kull apparat jagħmlu t-tneħħija mmirata possibbli, filwaqt li kredenzjali kondiviżi jfissru li t-tneħħija ta’ apparat wieħed taffettwa diversi. Ikteb il-proċedura tal-irkupru għal kull mekkaniżmu qabel ma jkollok bżonha, inkluż min jista’ jiffirma ċertifikat sostitut barra mill-ħinijiet tax-xogħol.

Ipprattika t-triq tar-revoka minflok ma tassumiha: irrevoka identità ta’ prova, ikkonferma li s-server jirrifjutaha fuq konnessjoni ġdida, imbagħad erġa’ stabbilixxi. Proċess ta’ revoka li qatt ma ġie pprattikat għandu tendenza jonqos eżattament meta jkun meħtieġ.

Tmexxi t-tnejn mingħajr ma tirdoppja x-xogħol

Ħafna implimentazzjonijiet jgħaqqdu t-tnejn deliberatament: ċertifikat għall-apparat u kredenzjali tal-kont għall-persuna, sabiex laptop misruq ma jkunx biżżejjed u kliem sigriet imnixxi lanqas ma jkun biżżejjed. Dak il-għaqda tħallas biss meta ż-żewġ ċikli tal-ħajja jibqgħu separati u t-tnejn ikunu awtomatizzati. Inkella d-desk tal-għajnuna jmexxi żewġ kjuwijiet u l-qligħ tas-sigurtà jibqa’ teoretiku.

Agħżel il-metodu li l-klijenti tas-servizz u l-għodda tal-ġestjoni fil-fatt jappoġġjaw. It-tnaqqis tal-verifika biex profil mhux adatt jikkonnettja jaqleb il-punt kollu, u profil editjat sakemm jikkonnettja spiss ikun wieħed li m’għadux jivverifika dak li nbneta għalih.

Irreġistra liema prova teħtieġ kull implimentazzjoni u kif kull waħda tiġi revokata. L-inċident li jmiss se jitlob eżattament dak.