Пароли VPN или сертификаты клиента: что восстанавливается быстрее

Одно развёртывание требует имени пользователя и пароля, другое — сертификата клиента, третье — обоих. Выбор меняет гораздо больше, чем окно входа: он определяет, как выдаются учётные данные, как они истекают, как выглядит восстановление в 2 часа ночи и кто может отозвать доступ ровно для одного устройства. Сравнивайте эксплуатационный жизненный цикл, а не диалоговое окно.

Пароль — это секрет учётной записи, проверяемый процессом аутентификации, а сертификат — это идентичность плюс доказательство владения его закрытым ключом. Это разные объекты с разными режимами отказа.

Два разных доказательства, два разных окна

Пароль доказывает знание общего секрета, поэтому сервер сравнивает хеш, а жизненным циклом владеет система учётных записей. Сертификат доказывает владение закрытым ключом, и сервер проверяет цепочку подписей до доверенного CA. Второй может идентифицировать устройство, а не человека, поэтому развёртывания часто выдают по одному на ноутбук. Парольная фраза, защищающая файл ключа, — это снова третье: она охраняет файл в покое и не является паролем учётной записи VPN.

Проверка сервера остаётся необходимой в любой комбинации. Действительные учётные данные, отправленные на конечную точку, чью идентичность вы перестали проверять, всё равно остаются данными, переданными тому, кто ответил, поэтому проверка сертификата сервера относится к базовому профилю, а не к шагу устранения неполадок.

Выдача, истечение срока и отзыв — это и есть реальная стоимость

Пароли дёшевы в выдаче и дороги в поддержке: сбросы, политика, повторное использование и очередь службы поддержки. Сертификаты переносят эту стоимость вперёд, где нужны CA, процесс подписи и канал распространения, а затем добавляют календарь истечения, который никто не помнит. Обоим нужен запланированный отзыв. Отозванному сертификату нужен CRL, который каждый сервер действительно читает, а отключённая учётная запись требует, чтобы серверная часть аутентификации отказала ей при следующем подключении, а не при следующей синхронизации.

Ни один механизм не становится безопасным только потому, что существует. Вопрос в том, какой жизненный цикл команда способна вести последовательно.

Что ломается, когда устройство потеряно

Для потерянного ноутбука удалите авторизацию, которую это устройство действительно использовало. Сброс пароля не отзывает его сертификат, а выдача нового сертификата не меняет пароль несвязанной учётной записи. Отдельные идентичности для каждого устройства позволяют адресно удалить доступ, тогда как общие учётные данные означают, что вывод одного устройства затрагивает несколько. Опишите процедуру восстановления для каждого механизма до того, как она понадобится, включая то, кто может подписать заменяющий сертификат в нерабочее время.

Отрабатывайте путь отзыва, а не предполагайте его: отзовите тестовую идентичность, убедитесь, что сервер отказывает ей при новом подключении, затем восстановите. Процесс отзыва, который никогда не отрабатывали, обычно отказывает именно тогда, когда нужен.

Вести оба, не удваивая работу

Многие развёртывания намеренно сочетают оба: сертификат для устройства и учётные данные для человека, так что украденного ноутбука недостаточно и утёкшего пароля тоже недостаточно. Это сочетание окупается только тогда, когда два жизненных цикла остаются раздельными и оба автоматизированы. Иначе служба поддержки ведёт две очереди, а выигрыш в безопасности остаётся теоретическим.

Выбирайте метод, который действительно поддерживают клиенты сервиса и средства управления. Ослабление проверки, чтобы подключился неподходящий профиль, переворачивает весь смысл, и профиль, отредактированный до состояния подключения, часто уже не проверяет то, для чего был создан.

Запишите, какое доказательство требует каждое развёртывание и как каждое отзывается. Следующий инцидент спросит именно это.