VPN лозинке наспрам клијентских сертификата: шта се брже опоравља

Једно распоређивање тражи корисничко име и лозинку, друго клијентски сертификат, а треће обоје. Избор мења много више од прозора за пријаву: одлучује како се издају акредитиви, како истичу, како изгледа опоравак у 2 сата ујутру и ко може да опозове приступ за тачно један уређај. Упоредите оперативни животни циклус, а не дијалог.

Лозинка је тајна налога коју проверава процес аутентификације, док је сертификат идентитет плус доказ о поседовању његовог приватног кључа. То су различити објекти са различитим режимима отказа.

Два различита доказа, два различита прозора

Лозинка доказује знање заједничке тајне, зато сервер пореди хеш и животним циклусом управља систем налога. Сертификат доказује поседовање приватног кључа, а сервер проверава ланац потписа до CA коме верује. Други може да идентификује уређај, а не особу, зато распоређивања често издају по један по лаптопу. Лозинка која штити датотеку кључа је опет трећа ствар: чува датотеку у мировању и није лозинка VPN налога.

Провера сервера остаје неопходна у свакој комбинацији. Важећи акредитиви послати крајњој тачки чији идентитет више не проверавате и даље су акредитиви предати ономе ко је одговорио, зато провера серверског сертификата припада основном профилу, а не кораку за решавање проблема.

Издавање, истек и опозив су прави трошак

Лозинке су јефтине за издавање и скупе за подршку: ресетовања, политика, поновна употреба и ред помоћне службе. Сертификати премештају тај трошак напред, где су потребни CA, процес потписивања и канал дистрибуције, а затим додају календар истека који нико не памти. Оба захтевају планирани опозив. Опозвани сертификат захтева CRL који сваки сервер стварно чита, а деактивирани налог захтева да га аутентификациона позадина одбије при следећој вези, а не при следећој синхронизацији.

Ниједан механизам не постаје безбедан само зато што постоји. Питање је који животни циклус тим може доследно да води.

Шта се квари када се уређај изгуби

За изгубљени лаптоп уклоните ауторизацију коју је тај уређај стварно користио. Ресетовање лозинке не опозива његов сертификат, а издавање новог сертификата не мења лозинку неповезаног налога. Одвојени идентитети по уређају омогућавају циљано уклањање, док заједнички акредитиви значе да уклањање једног уређаја погађа неколико. Напишите поступак опоравка за сваки механизам пре него што вам затреба, укључујући ко може ван радног времена да потпише заменски сертификат.

Вежбајте пут опозива уместо да га претпостављате: опозовите тест идентитет, потврдите да га сервер одбија при новој вези, па га вратите. Процес опозива који никада није вежбан обично откаже тачно када је потребан.

Водити оба без удвостручавања посла

Многа распоређивања намерно комбинују оба: сертификат за уређај и акредитив налога за особу, тако да украдени лаптоп није довољан и исцурела лозинка није довољна. Та комбинација се исплати само када два животна циклуса остану одвојена и оба су аутоматизована. Иначе помоћна служба води два реда, а безбедносна добит остаје теоретска.

Изаберите метод који клијенти услуге и алати за управљање заиста подржавају. Слабити проверу да би се неусклађени профил повезао преокреће целу поенту, и профил уређиван док се не повеже често је онај који више не проверава оно за шта је направљен.

Забележите који доказ свако распоређивање захтева и како се сваки опозива. Следећи инцидент ће тражити управо то.