VPN-passord kontra klientcertifikater: hva gjenopprettes raskest

Én utrulling ber om brukernavn og passord, en annen om et klientcertifikat, og en tredje om begge. Valget endrer langt mer enn innloggingsboksen: det avgjør hvordan legitimasjon utstedes, hvordan den utløper, hvordan gjenoppretting ser ut klokken 2 om natten og hvem som kan tilbakekalle tilgangen for nøyaktig én enhet. Sammenlign driftslivssyklusen fremfor dialogboksen.

Et passord er en kontohemmelighet som valideres av en autentiseringsprosess, mens et sertifikat er en identitet pluss bevis på besittelse av den private nøkkelen. Dette er forskjellige objekter med forskjellige feilmoduser.

To forskjellige bevis, to forskjellige bokser

Et passord beviser kunnskap om en delt hemmelighet, så serveren sammenligner en hash, og kontosystemet eier livssyklusen. Et sertifikat beviser besittelse av en privat nøkkel, og serveren verifiserer en signaturkjede til en CA den stoler på. Det andre kan identifisere en enhet fremfor en person, derfor utsteder utrullinger ofte ett per laptop. En passfrase som beskytter en nøkkelfil er igjen en tredje ting: den vokter filen i ro og er ikke VPN-kontoens passord.

Serververifisering er fortsatt nødvendig i enhver kombinasjon. Gyldig legitimasjon sendt til et endepunkt du har sluttet å kontrollere identiteten til, er fortsatt legitimasjon gitt til den som svarte, derfor hører servercertifikatkontrollen hjemme i basisprofilen og ikke i et feilsøkingstrinn.

Utstedelse, utløp og tilbakekalling er den virkelige kostnaden

Passord er billige å utstede og dyre å støtte: tilbakestillinger, policy, gjenbruk og køen hos brukerstøtten. Sertifikater flytter den kostnaden frem, der du trenger en CA, en signeringsprosess og en distribusjonskanal, og legger deretter til en utløpskalender ingen husker. Begge trenger planlagt tilbakekalling. Et tilbakekalt sertifikat trenger en CRL som hver server faktisk leser, og en deaktivert konto trenger at autentiseringsbackend nekter den ved neste tilkobling og ikke ved neste synkronisering.

Ingen av mekanismene blir sikre fordi de finnes. Spørsmålet er hvilken livssyklus teamet kan drifte konsekvent.

Hva som går i stykker når en enhet mistes

For en mistet laptop fjerner du autorisasjonen den enheten faktisk brukte. En passordtilbakestilling tilbakekaller ikke sertifikatet, og utstedelse av et nytt sertifikat endrer ikke passordet til en urelatert konto. Separate identiteter per enhet gjør målrettet fjerning mulig, mens delt legitimasjon betyr at utfasing av én enhet påvirker flere. Skriv gjenopprettingsprosedyren for hver mekanisme før du trenger den, inkludert hvem som kan signere et erstatningssertifikat utenfor arbeidstiden.

Øv tilbakekallingsveien i stedet for å anta den: tilbakekall en testidentitet, bekreft at serveren nekter den på en ny tilkobling, og gjenopprett den deretter. En tilbakekallingsprosess som aldri er øvd, feiler gjerne nettopp når den trengs.

Drifte begge uten å doble arbeidet

Mange utrullinger kombinerer de to med vilje: et sertifikat for enheten og en kontolegitimasjon for personen, slik at en stjålet laptop ikke er nok og et lekket passord ikke er nok. Kombinasjonen lønner seg bare når de to livssyklusene holdes atskilt og begge er automatisert. Ellers kjører brukerstøtten to køer, og sikkerhetsgevinsten forblir teoretisk.

Velg metoden som tjenestens klienter og administrasjonsverktøyene faktisk støtter. Å svekke verifiseringen for å få en upassende profil til å koble til snur hele poenget, og en profil som er redigert til den kobler til er ofte en som ikke lenger kontrollerer det den ble bygget for.

Noter hvilket bevis hver utrulling krever og hvordan hver tilbakekalles. Den neste hendelsen vil spørre om akkurat det.