Fjalëkalimet VPN kundrejt certifikatave të klientit: cila rikuperohet më shpejt

Një vendosje kërkon emër përdoruesi dhe fjalëkalim, një tjetër certifikatë klienti, dhe e treta të dyja. Zgjedhja ndryshon shumë më tepër sesa kutia e hyrjes: vendos se si lëshohen kredencialet, si skadojnë, si duket rikuperimi në orën 2 të mëngjesit dhe kush mund të revokojë aksesin për saktësisht një pajisje. Krahasoni ciklin e jetës operacional, jo kutinë e dialogut.

Një fjalëkalim është një sekret llogarie i vërtetuar nga një proces autentikimi, ndërsa një certifikatë është një identitet plus provë e zotërimit të çelësit të saj privat. Këto janë objekte të ndryshme me mënyra të ndryshme dështimi.

Dy prova të ndryshme, dy kuti të ndryshme

Një fjalëkalim provon njohjen e një sekreti të përbashkët, prandaj serveri krahason një hash dhe ciklin e jetës e zotëron sistemi i llogarive. Një certifikatë provon zotërimin e një çelësi privat, dhe serveri verifikon një zinxhir nënshkrimesh deri në një CA që i beson. E dyta mund të identifikojë një pajisje në vend të një personi, prandaj vendosjet shpesh lëshojnë një për laptop. Një frazë sekrete që mbron një skedar çelësi është përsëri një gjë e tretë: ruan skedarin në qetësi dhe nuk është fjalëkalimi i llogarisë VPN.

Verifikimi i serverit mbetet i nevojshëm në çdo kombinim. Kredencialet e vlefshme të dërguara në një pikë fundore, identitetin e së cilës keni ndaluar ta kontrolloni, mbeten kredenciale të dorëzuara atij që u përgjigj, prandaj kontrolli i certifikatës së serverit i përket profilit bazë dhe jo një hapi për zgjidhjen e problemeve.

Lëshimi, skadimi dhe revokimi janë kostoja e vërtetë

Fjalëkalimet janë të lira për t’u lëshuar dhe të shtrenjta për t’u mbështetur: rivendosje, politikë, ripërdorim dhe radha e ndihmës. Certifikatat e zhvendosin atë kosto përpara, ku nevojitet një CA, një proces nënshkrimi dhe një kanal shpërndarjeje, dhe më pas shtojnë një kalendar skadimi që askush nuk e mban mend. Të dyja kanë nevojë për revokim të planifikuar. Një certifikatë e revokuar ka nevojë për një CRL që çdo server e lexon vërtet, dhe një llogari e çaktivizuar ka nevojë që backend-i i autentikimit ta refuzojë në lidhjen tjetër dhe jo në sinkronizimin tjetër.

Asnjë mekanizëm nuk bëhet i sigurt vetëm sepse ekziston. Pyetja është cili cikël jete mund të operojë ekipi në mënyrë konsistente.

Çfarë prishet kur humbet një pajisje

Për një laptop të humbur, hiqni autorizimin që ajo pajisje përdori vërtet. Rivendosja e fjalëkalimit nuk e revokon certifikatën e saj, dhe lëshimi i një certifikate të re nuk ndryshon fjalëkalimin e një llogarie të palidhur. Identitetet e ndara për pajisje e bëjnë të mundur heqjen e synuar, ndërsa kredencialet e përbashkëta nënkuptojnë se heqja e një pajisjeje prek disa. Shkruani procedurën e rikuperimit për çdo mekanizëm përpara se t’ju duhet, duke përfshirë kush mund të nënshkruajë një certifikatë zëvendësuese jashtë orarit të punës.

Ushtroni rrugën e revokimit në vend që ta supozoni: revokoni një identitet testimi, konfirmoni se serveri e refuzon në një lidhje të re, më pas rikthejeni. Një proces revokimi që nuk është ushtruar kurrë priret të dështojë pikërisht kur nevojitet.

Të operohen të dyja pa dyfishuar punën

Shumë vendosje i kombinojnë të dyja me qëllim: një certifikatë për pajisjen dhe një kredencial llogarie për personin, kështu që një laptop i vjedhur nuk mjafton dhe një fjalëkalim i rrjedhur nuk mjafton. Ai kombinim shpërblehet vetëm kur dy ciklet e jetës mbeten të ndara dhe të dyja janë të automatizuara. Përndryshe ndihma menaxhon dy radhë dhe fitimi i sigurisë mbetet teorik.

Zgjidhni metodën që klientët e shërbimit dhe mjetet e menaxhimit e mbështesin vërtet. Dobësimi i verifikimit që një profil i papërshtatshëm të lidhet përmbys të gjithë qëllimin, dhe një profil i redaktuar derisa të lidhet është shpesh një që nuk kontrollon më atë për të cilën u ndërtua.

Shënoni çfarë prove kërkon çdo vendosje dhe si revokohet secila. Incidenti i radhës do të kërkojë pikërisht atë.