Akses VPN për llogarinë e shërbimit: certifikatë apo hyrje e përbashkët

Dy modele mbulojnë pothuajse çdo konfigurim VPN pa mbikëqyrje: një hyrje e përbashkët njerëzore e mbajtur në një skript, ose një certifikatë makine e lidhur me hostin. Dështojnë në vende të ndryshme, dhe kjo ka më shumë rëndësi sesa shpejtësia e konfigurimit. Një fjalëkalim i ruajtur prishet kur pronari i tij e ndryshon ose largohet; një certifikatë prishet kur skadon ose kur hosti rindërtohet pa çelësin. Tri kushte vendosin se cilin kosto mund të mbani, dhe asnjë model nuk kufizon asgjë derisa ta bëjë politika e autorizimit.

Filloni nga detyra, jo nga llogaria

Detyra përcakton kufirin: cilat destinacione, cilat shërbime, në cilat orë, sa kohë mund të zgjasë një sesion. Rruga e tunelit është vetëm gjysma e atij kufiri. Porta vendos nëse sesioni lejohet; burimi pas saj vendos çfarë mund të bëjë sesioni. Shkruani listën së pari, me një pronar të emëruar, sepse të dy modelet e identitetit duhet ta plotësojnë atë.

Mbajini vërtetimin dhe autorizimin të ndara ndërsa e shkruani. Vërtetimi përgjigjet kush po lidhet; autorizimi përgjigjet ku mund të arrijë sesioni më pas. RADIUS e mbart pjesën e dytë si atribute si Filter-Id, Framed-IP-Address, Session-Timeout dhe Class, dhe porta i bashkëngjit ato kur hyrja ka sukses. Një model që ndërron hyrjen dhe e lë autorizimin në vend nuk ka kufizuar asgjë.

Hyrje e përbashkët njerëzore: fjalëkalimi bëhet kufiri

Ripërdorimi i një llogarie njerëzore është rruga më e shpejtë dhe ajo që plaket më keq. Kredenciale është fjalëkalimi, prandaj përfundon në një skript, një skedar mjedisi dhe një konfigurim planifikuesi, dhe çdo kopje ka nevojë për rrotullim. Kur pronari e ndryshon të premten, detyra dështon në ekzekutimin tjetër dhe askush nuk po shikon.

MFA është vendi ku ky model zakonisht shembet. Një skript nuk mund t'i përgjigjet një kërkese push, prandaj llogaria përjashtohet nga politika, dhe pikërisht kjo është llogaria që një sulmues do të zgjidhte. Përjashtimet, anashkalimet për vendndodhje të besuara dhe përjashtimet për llogari shumohen, dhe asnjëra prej tyre nuk është e dukshme për personin tjetër që lexon cilësimet e qiramarrësit.

Atribuimi është kostoja tjetër. Çdo sesion në regjistrin e portës mban të njëjtin emër përdoruesi, prandaj sinkronizimi i natës nuk mund të dallohet nga puna e personit që e shkroi, dhe revokimi i detyrës do të thotë revokim i atij personi.

Certifikatë makine: identiteti i lidhur me hostin

Një certifikatë e ndryshon pyetjen nga ajo që di llogaria në atë që është hosti. Me EAP-TLS klienti paraqet një certifikatë dhe provon posedimin e çelësit privat që përputhet; serveri i politikave e harton subjektin ose llogarinë e kompjuterit në një grup dhe zbaton politikën e atij grupi. Pa kërkesë, pa sekret të përbashkët në një skedar teksti.

Kufiri që krijon është më i ngushtë sesa presin njerëzit. Një certifikatë vërteton hostin, jo detyrën, dhe kushdo me të drejta root ose administratori lokal mund ta përdorë atë çelës në atë host. Mbajeni çelësin aty ku platforma e mbron: i paeksportueshëm në depon e certifikatave të Windows, me mbështetje TPM aty ku profili lejon, ose një skedar 0600 në pronësi të root në Linux. Komprometimi i hostit është komprometim i kredencialeve.

Skadimi është dështimi i përsëritur. Një certifikatë që skadon të dielën e ndalon detyrën të dielën, dhe porta zakonisht raporton një gabim gjenerik vërtetimi në vend që të emërojë datën. Kontrolloni datat nga hosti i detyrës si pjesë e runbook-ut:

openssl x509 -in client.pem -noout -subject -issuer -dates
ipsec listcerts

Revokimi ka nevojë për një rrugë që porta e kontrollon. OpenVPN lexon një CRL përmes opsionit crl-verify, dhe strongSwan varet nga CRL ose OCSP sipas mënyrës se si është ndërtuar profili i lidhjes. Nëse asnjëra nuk është e lidhur, heqja e një hosti do të thotë pritje derisa certifikata të skadojë.

Tri kushte që vendosin midis tyre

Krahasimin bëjeni me platformën që keni, jo me një model referimi.

Kushti i parë: a mundet porta të autorizojë një identitet makine? Nëse harton vetëm një emër përdoruesi RADIUS në një përdorues të drejtorisë, një certifikatë vërteton hostin dhe pastaj ngec në autorizim. Kushti i dytë: a ka nevojë detyra për akses burimesh që e mban vetëm një llogari përdoruesi, si një ndarje e hartuar ose një licencë për vend? Atëherë një identitet makine nuk mund të zëvendësojë, dhe përgjigjja e ndershme është një llogari përdoruesi e dedikuar me një politikë të kufizuar. Kushti i tretë: kush mund ta rrotullojë kredencialin pa një person në lak? Regjistrimi automatik i bën certifikatat të lira për t'u mbajtur; një fjalëkalim i njohur nga një person, jo.

Lexojeni tabelën si një listë kostosh, jo si renditje. Kolona e sekretit të ruajtur fiton në shpejtësinë e revokimit dhe në përputhshmërinë me burimet që kuptojnë vetëm llogari përdoruesish; kolona e certifikatës fiton në rrotullim dhe në mos-dobësimin e MFA për të bërë një skript të funksionojë.

Vendosni kufirin në politikë, pas vërtetimit

Cilindo identitet të zgjidhni, kufiri i lejeve i takon politikës që ekzekutohet pas vërtetimit. Në NPS politikat e rrjetit vlerësohen me radhë dhe politika e parë që përputhet me çdo kusht zbaton cilësimet e saj, prandaj një politikë e gjerë e vendosur mbi një të ngushtë vendos rezultatin, pavarësisht se çfarë paraqet klienti. Microsoft e dokumenton modelin e kushteve dhe cilësimeve në përmbledhjen e politikave NPS.

Jepini detyrës grupin ose kushtin e vet të politikës, bazuar në diçka që e mban identiteti i makinës: një shabllon certifikate, një identifikues të stacionit thirrës ose një adresë nga një pishinë e dedikuar. Pastaj kufizoni sesionin me atribute: një Filter-Id për rolin ku porta e harton, një Session-Timeout të shkurtër që një detyrë e ngecur të rivërtetohet në vend që të mbajë një sesion për ditë, dhe një Framed-IP-Address nga një pishinë që e filtroni me firewall në anën tjetër. Autorizimi i aplikacionit mbetet i ndarë: një tunel drejt një serveri baze të dhënash nuk është leje për të lexuar një tabelë brenda tij.

Verifikoni refuzimet, pastaj planifikoni heqjen

Aksesi që funksionon nuk provon asgjë për privilegjin minimal. Testoni refuzimet: lidhuni me identitetin e detyrës dhe shtrihuni drejt një destinacioni jashtë listës, hapni një sesion të dytë të njëkohshëm nëse porta duhet të lejojë vetëm një, dhe përsëritni hyrjen pas revokimit të kredencialit.

Pastaj konfirmoni të njëjtin sesion në dy vende. Regjistri i portës tregon identitetin që u vërtetua; regjistri i serverit të politikave tregon cila politikë u përputh dhe cilat atribute ktheu. Në OpenVPN serveri regjistron emrin e përbashkët të certifikatës, dhe ipsec statusall në strongSwan shtyp tunelin e vendosur me identitetin në përdorim. Nëse dy regjistrat nuk pajtohen për identitetin, politika po përputhet me diçka tjetër nga ajo që supozoni.

Heqja i takon modelit, jo një spasti pastrimi. Shkruani gjithçka që duhet fshirë (certifikatë ose llogari, anëtarësi në grup, politikë rrjeti, hyrje në pishinë, rregull firewall në objektiv) dhe ekzekutojeni një herë ndërsa detyra është e lehtë për t'u rindërtuar.

Nëse filloni sot, punoni në këtë rend: shkruani listën e burimeve, zgjidhni identitetin me tri kushtet, vendosni kufirin në politikë dhe provoni një refuzim para se detyra të vihet në punë.