VPN-lösenord kontra klientcertifikat: vad återställs snabbast

En distribution begär användarnamn och lösenord, en annan ett klientcertifikat och en tredje båda. Valet ändrar mycket mer än inloggningsrutan: det avgör hur autentiseringsuppgifter utfärdas, hur de löper ut, hur återställning ser ut klockan 2 på natten och vem som kan återkalla åtkomst för exakt en enhet. Jämför driftlivscykeln i stället för dialogrutan.

Ett lösenord är en kontohemlighet som valideras av en autentiseringsprocess, medan ett certifikat är en identitet plus bevis på innehav av dess privata nyckel. Det är olika objekt med olika felmoder.

Två olika bevis, två olika rutor

Ett lösenord bevisar kunskap om en delad hemlighet, så servern jämför en hash och kontosystemet äger livscykeln. Ett certifikat bevisar innehav av en privat nyckel, och servern verifierar en signaturkedja till en CA som den litar på. Det andra kan identifiera en enhet i stället för en person, därför utfärdar distributioner ofta ett per laptop. En lösenfras som skyddar en nyckelfil är återigen en tredje sak: den bevakar filen i vila och är inte VPN-kontots lösenord.

Serververifiering är fortfarande nödvändig i varje kombination. Giltiga autentiseringsuppgifter som skickas till en slutpunkt vars identitet du slutat kontrollera är fortfarande uppgifter som lämnats till den som svarade, därför hör servercertifikatkontrollen hemma i basprofilen och inte i ett felsökningssteg.

Utfärdande, utgång och återkallande är den verkliga kostnaden

Lösenord är billiga att utfärda och dyra att stödja: återställningar, policy, återanvändning och kön hos supporten. Certifikat flyttar den kostnaden framåt, där du behöver en CA, en signeringsprocess och en distributionskanal, och lägger sedan till en utgångskalender som ingen minns. Båda behöver planerat återkallande. Ett återkallat certifikat behöver en CRL som varje server faktiskt läser, och ett inaktiverat konto behöver att autentiseringsbackend avvisar det vid nästa anslutning och inte vid nästa synkronisering.

Ingen av mekanismerna blir säkra för att de finns. Frågan är vilken livscykel teamet kan driva konsekvent.

Vad som går sönder när en enhet tappas bort

För en borttappad laptop, ta bort den auktorisering som enheten faktiskt använde. En lösenordsåterställning återkallar inte dess certifikat, och utfärdande av ett nytt certifikat ändrar inte lösenordet för ett orelaterat konto. Separata identiteter per enhet gör riktad borttagning möjlig, medan delade autentiseringsuppgifter innebär att avveckling av en enhet påverkar flera. Skriv återställningsproceduren för varje mekanism innan du behöver den, inklusive vem som kan signera ett ersättningscertifikat utanför kontorstid.

Öva återkallandevägen i stället för att anta den: återkalla en testidentitet, bekräfta att servern avvisar den vid en ny anslutning och återställ den sedan. En återkallandeprocess som aldrig övats tenderar att misslyckas precis när den behövs.

Driva båda utan att dubbla arbetet

Många distributioner kombinerar de två medvetet: ett certifikat för enheten och en kontouppgift för personen, så att en stulen laptop inte räcker och ett läckt lösenord inte räcker. Den kombinationen lönar sig bara när de två livscyklerna hålls åtskilda och båda är automatiserade. Annars kör supporten två köer och säkerhetsvinsten förblir teoretisk.

Välj den metod som tjänstens klienter och administrationsverktygen faktiskt stöder. Att försvaga verifieringen för att en opassande profil ska ansluta vänder hela poängen, och en profil som redigerats tills den ansluter är ofta en som inte längre kontrollerar det den byggdes för.

Notera vilket bevis varje distribution kräver och hur var och en återkallas. Nästa incident kommer att fråga efter exakt det.