Hasła VPN a certyfikaty klientów: co odzyskuje sprawność szybciej

Jedno wdrożenie prosi o nazwę użytkownika i hasło, inne o certyfikat klienta, a trzecie o oba. Ten wybór zmienia znacznie więcej niż okno logowania: decyduje, jak wydawane są poświadczenia, jak wygasają, jak wygląda odzyskiwanie o 2 w nocy i kto może odebrać dostęp dokładnie jednemu urządzeniu. Porównuj cykl życia operacyjnego, a nie okno dialogowe.

Hasło to sekret konta sprawdzany przez proces uwierzytelniania, natomiast certyfikat to tożsamość plus dowód posiadania jego klucza prywatnego. To różne obiekty o różnych trybach awarii.

Dwa różne dowody, dwa różne okna

Hasło dowodzi znajomości wspólnego sekretu, więc serwer porównuje skrót, a cyklem życia zarządza system kont. Certyfikat dowodzi posiadania klucza prywatnego, a serwer weryfikuje łańcuch podpisów do CA, któremu ufa. Drugi potrafi zidentyfikować urządzenie, a nie osobę, dlatego wdrożenia często wydają po jednym na laptop. Fraza hasłowa chroniąca plik klucza to znów trzecia rzecz: strzeże pliku w spoczynku i nie jest hasłem konta VPN.

Weryfikacja serwera pozostaje konieczna w każdej kombinacji. Ważne poświadczenia wysłane do punktu końcowego, którego tożsamości przestaliście sprawdzać, nadal są poświadczeniami przekazanymi temu, kto odpowiedział, dlatego sprawdzanie certyfikatu serwera należy do profilu podstawowego, a nie do kroku rozwiązywania problemów.

Wydawanie, wygasanie i unieważnianie to rzeczywisty koszt

Hasła są tanie w wydawaniu i drogie we wsparciu: resetowania, polityka, ponowne użycie i kolejka pomocy technicznej. Certyfikaty przenoszą ten koszt na początek, gdzie potrzebujesz CA, procesu podpisywania i kanału dystrybucji, a potem dodają kalendarz wygasania, którego nikt nie pamięta. Oba wymagają zaplanowanego unieważniania. Unieważniony certyfikat potrzebuje CRL, którą każdy serwer naprawdę czyta, a wyłączone konto potrzebuje, by backend uwierzytelniania odmówił mu przy następnym połączeniu, a nie przy następnej synchronizacji.

Żaden z mechanizmów nie staje się bezpieczny dlatego, że istnieje. Pytanie brzmi, który cykl życia zespół potrafi prowadzić konsekwentnie.

Co się psuje, gdy urządzenie ginie

W przypadku zgubionego laptopa usuń autoryzację, której to urządzenie naprawdę używało. Reset hasła nie unieważnia jego certyfikatu, a wydanie nowego certyfikatu nie zmienia hasła niepowiązanego konta. Osobne tożsamości dla każdego urządzenia umożliwiają celowane usunięcie, a wspólne poświadczenia oznaczają, że wycofanie jednego urządzenia dotyka kilku. Opisz procedurę odzyskiwania dla każdego mechanizmu, zanim będzie potrzebna, w tym kto może podpisać certyfikat zastępczy poza godzinami pracy.

Ćwicz ścieżkę unieważniania, zamiast ją zakładać: unieważnij tożsamość testową, potwierdź, że serwer odmawia jej przy nowym połączeniu, a potem ją przywróć. Proces unieważniania, którego nigdy nie ćwiczono, zwykle zawodzi dokładnie wtedy, gdy jest potrzebny.

Prowadzić oba bez podwajania pracy

Wiele wdrożeń celowo łączy oba: certyfikat dla urządzenia i poświadczenie konta dla osoby, tak aby skradziony laptop nie wystarczył, a wyciekłe hasło też nie wystarczyło. Ta kombinacja się opłaca tylko wtedy, gdy oba cykle życia pozostają rozdzielone i oba są zautomatyzowane. Inaczej pomoc techniczna prowadzi dwie kolejki, a zysk bezpieczeństwa pozostaje teoretyczny.

Wybierz metodę, którą klienci usługi i narzędzia zarządzania naprawdę obsługują. Osłabianie weryfikacji, żeby niedopasowany profil się połączył, odwraca cały sens, a profil edytowany aż do połączenia często jest taki, że nie sprawdza już tego, do czego go zbudowano.

Zapisz, jakiego dowodu wymaga każde wdrożenie i jak każdy jest unieważniany. Następny incydent zapyta dokładnie o to.