VPN-passord kontra klientcertifikat: kva som blir gjenoppretta raskast

Éi utrulling ber om brukarnamn og passord, ei anna om eit klientcertifikat, og ei tredje om begge. Valet endrar langt meir enn innloggingsboksen: det avgjer korleis legitimasjon blir utferda, korleis han løper ut, korleis gjenoppretting ser ut klokka 2 om natta og kven som kan kalle tilbake tilgangen for nøyaktig éi eining. Samanlikn driftslivssyklusen framfor dialogboksen.

Eit passord er ei kontohemmelegheit som blir validert av ein autentiseringsprosess, medan eit sertifikat er ein identitet pluss bevis på å ha den private nøkkelen. Dette er ulike objekt med ulike feilmodus.

To ulike bevis, to ulike bokser

Eit passord beviser kjennskap til ei delt hemmelegheit, så serveren samanliknar ein hash, og kontosystemet eig livssyklusen. Eit sertifikat beviser at ein har ein privat nøkkel, og serveren stadfester ei signaturkjede til ein CA han stoler på. Det andre kan identifisere ei eining framfor ein person, derfor utferdar utrullingar ofte eitt per laptop. Ei passfrase som vernar ei nøkkelfil er igjen ein tredje ting: ho vaktar fila i ro og er ikkje passordet til VPN-kontoen.

Serverstadfesting er framleis nødvendig i kvar kombinasjon. Gyldig legitimasjon send til eit endepunkt du har slutta å kontrollere identiteten til, er framleis legitimasjon gitt til den som svara, derfor høyrer servercertifikatkontrollen heime i basisprofilen og ikkje i eit feilsøkingstrinn.

Utferding, utløp og tilbakekalling er den verkelege kostnaden

Passord er billege å utferde og dyre å støtte: tilbakestillingar, policy, gjenbruk og køen hos brukarstøtta. Sertifikat flyttar den kostnaden fram, der du treng ein CA, ein signeringsprosess og ein distribusjonskanal, og legg deretter til ein utløpskalender ingen hugsar. Begge treng planlagd tilbakekalling. Eit tilbakekalla sertifikat treng ein CRL som kvar server faktisk les, og ein deaktivert konto treng at autentiseringsbackend nektar han ved neste tilkopling og ikkje ved neste synkronisering.

Ingen av mekanismane blir trygge fordi dei finst. Spørsmålet er kva livssyklus teamet kan drifte konsekvent.

Kva som går i stykke når ei eining blir mista

For ein mista laptop fjernar du autorisasjonen den eininga faktisk brukte. Ei passordtilbakestilling kallar ikkje tilbake sertifikatet, og utferding av eit nytt sertifikat endrar ikkje passordet til ein urelatert konto. Separate identitetar per eining gjer målretta fjerning mogleg, medan delt legitimasjon betyr at utfasing av éi eining påverkar fleire. Skriv gjenopprettingsprosedyren for kvar mekanisme før du treng han, inkludert kven som kan signere eit erstatningssertifikat utanfor arbeidstida.

Øv tilbakekallingsvegen i staden for å anta han: kall tilbake ein testidentitet, stadfest at serveren nektar han på ei ny tilkopling, og gjenopprett han deretter. Ein tilbakekallingsprosess som aldri er øvd, sviktar gjerne nettopp når han trengst.

Drifte begge utan å doble arbeidet

Mange utrullingar kombinerer dei to med vilje: eit sertifikat for eininga og ein kontolegitimasjon for personen, slik at ein stolen laptop ikkje er nok og eit lekt passord ikkje er nok. Kombinasjonen løner seg berre når dei to livssyklusane blir haldne åtskilde og begge er automatiserte. Elles køyrer brukarstøtta to køar, og tryggingsgevinsten blir verande teoretisk.

Vel metoden som klientane til tenesta og administrasjonsverktøya faktisk støttar. Å svekkje stadfestinga for å få ein upassande profil til å kople til snur heile poenget, og ein profil som er redigert til han koplar til er ofte ein som ikkje lenger kontrollerer det han vart bygd for.

Noter kva bevis kvar utrulling krev og korleis kvar blir kalla tilbake. Den neste hendinga vil spørje om akkurat det.