Heslá VPN verzus klientske certifikáty: čo sa obnoví rýchlejšie

Jedno nasadenie žiada používateľské meno a heslo, iné klientsky certifikát a tretie oboje. Voľba mení oveľa viac ako prihlasovací dialóg: rozhoduje o tom, ako sa vydávajú prihlasovacie údaje, ako expirujú, ako vyzerá obnova o 2 hodine ráno a kto môže zrušiť prístup presne jednému zariadeniu. Porovnávajte prevádzkový životný cyklus, nie dialógové okno.

Heslo je tajomstvo účtu overované autentifikačným procesom, zatiaľ čo certifikát je identita plus dôkaz vlastníctva jeho súkromného kľúča. Sú to rôzne objekty s rôznymi režimami zlyhania.

Dva rôzne dôkazy, dva rôzne dialógy

Heslo dokazuje znalosť zdieľaného tajomstva, preto server porovnáva hash a životný cyklus vlastní systém účtov. Certifikát dokazuje vlastníctvo súkromného kľúča a server overuje reťazec podpisov až po CA, ktorej dôveruje. Druhý dokáže identifikovať zariadenie namiesto osoby, preto nasadenia často vydávajú jeden na notebook. Prístupová fráza chrániace súbor s kľúčom je zase tretia vec: stráži súbor v pokoji a nie je heslom účtu VPN.

Overenie servera zostáva potrebné v každej kombinácii. Platné prihlasovacie údaje odoslané koncovému bodu, ktorého identitu ste prestali kontrolovať, sú stále údaje odovzdané tomu, kto odpovedal, preto kontrola certifikátu servera patrí do základného profilu, nie do kroku riešenia problémov.

Vydávanie, expirácia a odvolanie sú skutočná cena

Heslá sa vydávajú lacno a podporujú draho: resetovania, politika, opakované použitie a front helpdesku. Certifikáty presúvajú túto cenu dopredu, kde potrebujete CA, proces podpisovania a distribučný kanál, a potom pridajú kalendár expirácie, ktorý si nikto nepamätá. Oboje potrebuje plánované odvolanie. Odvolaný certifikát potrebuje CRL, ktorý každý server skutočne číta, a deaktivovaný účet potrebuje, aby ho autentifikačný backend odmietol pri ďalšom pripojení, nie pri ďalšej synchronizácii.

Ani jeden mechanizmus nie je bezpečný len preto, že existuje. Otázkou je, ktorý životný cyklus tím dokáže viesť konzistentne.

Čo sa pokazí, keď sa zariadenie stratí

Pri stratenom notebooku odstráňte autorizáciu, ktorú toto zariadenie skutočne používalo. Reset hesla neodvolá jeho certifikát a vydanie nového certifikátu nezmení heslo nesúvisiaceho účtu. Oddelené identity pre každé zariadenie umožňujú cielené odstránenie, zatiaľ čo zdieľané prihlasovacie údaje znamenajú, že odobratie jedného zariadenia ovplyvní niekoľko. Napíšte postup obnovy pre každý mechanizmus skôr, než ho budete potrebovať, vrátane toho, kto môže mimo pracovného času podpísať náhradný certifikát.

Precvičte cestu odvolania namiesto predpokladu: odvolajte testovaciu identitu, potvrďte, že ju server odmietne na novom pripojení, a potom ju obnovte. Proces odvolania, ktorý sa nikdy necvičil, zvyčajne zlyhá presne vtedy, keď je potrebný.

Prevádzkovať oboje bez zdvojnásobenia práce

Mnohé nasadenia oboje zámerne kombinujú: certifikát pre zariadenie a prihlasovacie údaje účtu pre osobu, takže ukradnutý notebook nestačí a uniknuté heslo tiež nestačí. Táto kombinácia sa vyplatí len vtedy, keď oba životné cykly zostanú oddelené a oba sú automatizované. Inak helpdesk vedie dva fronty a bezpečnostný prínos zostáva teoretický.

Vyberte metódu, ktorú klienti služby a nástroje správy skutočne podporujú. Oslabenie overenia, aby sa nevyhovujúci profil pripojil, obracia celý zmysel, a profil upravený až do pripojenia je často taký, ktorý už nekontroluje to, na čo bol vytvorený.

Zaznamenajte, aký dôkaz každé nasadenie vyžaduje a ako sa každý odvoláva. Nasledujúci incident bude žiadať presne to.