Gesla VPN proti odjemalskim potrdilom: kaj se obnovi hitreje

Ena uvedba zahteva uporabniško ime in geslo, druga odjemalsko potrdilo, tretja oboje. Izbira spremeni veliko več kot prijavno okno: odloči, kako se izdajo poverilnice, kako potečejo, kako je videti obnovitev ob 2 uri zjutraj in kdo lahko prekliče dostop za natanko eno napravo. Primerjajte operativni življenjski cikel, ne pogovornega okna.

Geslo je skrivnost računa, ki jo preveri postopek preverjanja pristnosti, medtem ko je potrdilo identiteta plus dokazilo o lastništvu njegovega zasebnega ključa. To sta različna predmeta z različnimi načini odpovedi.

Dve različni dokazili, dve različni okni

Geslo dokazuje poznavanje skupne skrivnosti, zato strežnik primerja hash in življenjski cikel ima računski sistem. Potrdilo dokazuje lastništvo zasebnega ključa in strežnik preveri verigo podpisov do CA, ki mu zaupa. Drugo lahko prepozna napravo namesto osebe, zato uvedbe pogosto izdajo eno na prenosnik. Geslo, ki ščiti datoteko s ključem, je spet tretja stvar: varuje datoteko v mirovanju in ni geslo računa VPN.

Preverjanje strežnika ostaja potrebno v vsaki kombinaciji. Veljavne poverilnice, poslane na končno točko, katere identitete ne preverjate več, so še vedno poverilnice, izročene tistemu, ki je odgovoril, zato preverjanje strežniškega potrdila sodi v osnovni profil in ne v korak za odpravljanje težav.

Izdaja, potek in preklic so resnični strošek

Gesla so poceni za izdajo in draga za podporo: ponastavitve, politika, ponovna uporaba in čakalna vrsta pomoči. Potrdila ta strošek premaknejo naprej, kjer potrebujete CA, postopek podpisovanja in distribucijski kanal, nato pa dodajo koledar poteka, ki se ga nihče ne spomni. Oboje potrebuje načrtovan preklic. Preklicano potrdilo potrebuje CRL, ki ga vsak strežnik resnično bere, onemogočen račun pa potrebuje, da ga preverjanje pristnosti zavrne ob naslednji povezavi in ne ob naslednji sinhronizaciji.

Noben mehanizem ni varen samo zato, ker obstaja. Vprašanje je, kateri življenjski cikel lahko ekipa vodi dosledno.

Kaj se pokvari, ko se naprava izgubi

Za izgubljen prenosnik odstranite avtorizacijo, ki jo je ta naprava dejansko uporabljala. Ponastavitev gesla ne prekliče potrdila, izdaja novega potrdila pa ne spremeni gesla nepovezanega računa. Ločene identitete na napravo omogočajo ciljno odstranitev, medtem ko skupne poverilnice pomenijo, da odstranitev ene naprave prizadene več. Napišite postopek obnovitve za vsak mehanizem, preden ga potrebujete, vključno s tem, kdo lahko zunaj delovnega časa podpiše nadomestno potrdilo.

Vadite pot preklica, namesto da bi jo predpostavljali: prekličite testno identiteto, potrdite, da jo strežnik zavrne ob novi povezavi, nato jo obnovite. Postopek preklica, ki ni bil nikoli vadben, običajno odpove natanko takrat, ko je potreben.

Upravljati oboje brez podvajanja dela

Številne uvedbe namerno združujejo oboje: potrdilo za napravo in poverilnice računa za osebo, tako da ukraden prenosnik ni dovolj in uhajano geslo ni dovolj. Ta kombinacija se izplača le, ko dva življenjska cikla ostaneta ločena in sta oba avtomatizirana. Sicer pomoč upravlja dve čakalni vrsti in varnostni donos ostane teoretičen.

Izberite metodo, ki jo odjemalci storitve in orodja za upravljanje resnično podpirajo. Šibitev preverjanja, da bi se neustrezni profil povezal, obrne ves smisel, in profil, urejen do povezave, je pogosto tak, da ne preverja več tega, za kar je bil zgrajen.

Zapišite, katero dokazilo zahteva vsaka uvedba in kako se vsako prekliče. Naslednji incident bo zahteval natanko to.