รหัสผ่าน VPN กับใบรับรองไคลเอนต์: อะไรกู้คืนได้เร็วกว่า

การติดตั้งใช้งานหนึ่งขอชื่อผู้ใช้และรหัสผ่าน อีกที่หนึ่งขอใบรับรองไคลเอนต์ และแห่งที่สามขอทั้งสองอย่าง ตัวเลือกนี้เปลี่ยนมากกว่าหน้าต่างเข้าสู่ระบบ: มันกำหนดวิธีออกข้อมูลรับรอง วิธีหมดอายุ การกู้คืนตอนตี 2 มีหน้าตาอย่างไร และใครสามารถเพิกถอนการเข้าถึงของอุปกรณ์เพียงเครื่องเดียวได้ เปรียบเทียบวงจรชีวิตในการปฏิบัติงาน ไม่ใช่กล่องโต้ตอบ

รหัสผ่านคือความลับของบัญชีที่ตรวจสอบโดยกระบวนการพิสูจน์ตัวตน ส่วนใบรับรองคือตัวตนบวกหลักฐานการครอบครองกุญแจส่วนตัวของมัน สิ่งเหล่านี้เป็นวัตถุต่างกันที่มีโหมดล้มเหลวต่างกัน

หลักฐานสองแบบที่ต่างกัน สองหน้าต่างที่ต่างกัน

รหัสผ่านพิสูจน์ความรู้เรื่องความลับที่ใช้ร่วมกัน เซิร์ฟเวอร์จึงเปรียบเทียบแฮชและระบบบัญชีเป็นเจ้าของวงจรชีวิต ใบรับรองพิสูจน์การครอบครองกุญแจส่วนตัว และเซิร์ฟเวอร์ตรวจสอบห่วงโซ่ลายเซ็นไปยัง CA ที่ไว้วางใจ อย่างที่สองระบุอุปกรณ์แทนบุคคลได้ จึงมักออกให้หนึ่งใบต่อแล็ปท็อปหนึ่งเครื่อง วลีรหัสผ่านที่ปกป้องไฟล์กุญแจเป็นสิ่งที่สามอีกอย่าง: มันปกป้องไฟล์ขณะพักและไม่ใช่รหัสผ่านบัญชี VPN

การตรวจสอบเซิร์ฟเวอร์ยังจำเป็นในทุกการผสมผสาน ข้อมูลรับรองที่ถูกต้องซึ่งส่งไปยังปลายทางที่คุณเลิกตรวจสอบตัวตนแล้วก็ยังเป็นข้อมูลรับรองที่มอบให้ผู้ที่ตอบกลับ ดังนั้นการตรวจสอบใบรับรองเซิร์ฟเวอร์จึงอยู่ในโปรไฟล์พื้นฐาน ไม่ใช่ขั้นตอนแก้ไขปัญหา

การออก การหมดอายุ และการเพิกถอนคือต้นทุนที่แท้จริง

รหัสผ่านออกราคาถูกแต่สนับสนุนราคาแพง: การรีเซ็ต นโยบาย การใช้ซ้ำ และคิวฝ่ายช่วยเหลือ ใบรับรองย้ายต้นทุนนั้นไปข้างหน้า ซึ่งต้องมี CA กระบวนการลงนาม และช่องทางแจกจ่าย แล้วเพิ่มปฏิทินหมดอายุที่ไม่มีใครจำ ทั้งสองอย่างต้องวางแผนการเพิกถอน ใบรับรองที่ถูกเพิกถอนต้องมี CRL ที่ทุกเซิร์ฟเวอร์อ่านจริง และบัญชีที่ถูกปิดใช้งานต้องให้ระบบพิสูจน์ตัวตนฝั่งหลังบ้านปฏิเสธในการเชื่อมต่อครั้งถัดไป ไม่ใช่ในการซิงก์ครั้งถัดไป

ไม่มีกลไกใดปลอดภัยเพียงเพราะมันมีอยู่ คำถามคือทีมสามารถดำเนินวงจรชีวิตแบบใดได้อย่างสม่ำเสมอ

อะไรพังเมื่ออุปกรณ์หาย

สำหรับแล็ปท็อปที่หายไป ให้ถอนสิทธิ์ที่อุปกรณ์นั้นใช้จริง การรีเซ็ตรหัสผ่านไม่ได้เพิกถอนใบรับรองของมัน และการออกใบรับรองใหม่ไม่ได้เปลี่ยนรหัสผ่านของบัญชีที่ไม่เกี่ยวข้อง ตัวตนแยกต่ออุปกรณ์ทำให้การถอนแบบเจาะจงเป็นไปได้ ขณะที่ข้อมูลรับรองที่ใช้ร่วมกันหมายความว่าการถอดอุปกรณ์หนึ่งกระทบหลายเครื่อง เขียนขั้นตอนกู้คืนสำหรับแต่ละกลไกก่อนที่คุณจะต้องใช้ รวมถึงใครสามารถลงนามใบรับรองทดแทนนอกเวลาทำการ

ฝึกเส้นทางการเพิกถอนแทนการสันนิษฐาน: เพิกถอนตัวตนทดสอบ ยืนยันว่าเซิร์ฟเวอร์ปฏิเสธในการเชื่อมต่อใหม่ แล้วจึงกู้คืน กระบวนการเพิกถอนที่ไม่เคยฝึกมักล้มเหลวในจังหวะที่ต้องใช้พอดี

ดำเนินการทั้งสองโดยไม่เพิ่มงานเป็นสองเท่า

การติดตั้งใช้งานจำนวนมากผสมทั้งสองอย่างโดยเจตนา: ใบรับรองสำหรับอุปกรณ์และข้อมูลรับรองบัญชีสำหรับบุคคล เพื่อให้แล็ปท็อปที่ถูกขโมยไม่เพียงพอและรหัสผ่านที่รั่วไหลก็ไม่เพียงพอ การผสมนี้คุ้มค่าก็ต่อเมื่อวงจรชีวิตทั้งสองแยกจากกันและทั้งคู่ทำงานอัตโนมัติ ไม่เช่นนั้นฝ่ายช่วยเหลือต้องดูแลสองคิวและผลประโยชน์ด้านความปลอดภัยยังเป็นทฤษฎี

เลือกวิธีที่ไคลเอนต์ของบริการและเครื่องมือจัดการรองรับจริง การทำให้การตรวจสอบอ่อนลงเพื่อให้โปรไฟล์ที่ไม่เข้ากันเชื่อมต่อได้นั้นกลับทิศทั้งจุดหมาย และโปรไฟล์ที่ถูกแก้ไขจนเชื่อมต่อได้มักเป็นโปรไฟล์ที่ไม่ตรวจสอบสิ่งที่มันถูกสร้างมาเพื่อตรวจสอบอีกต่อไป

บันทึกว่าแต่ละการติดตั้งต้องใช้หลักฐานใดและแต่ละอย่างถูกเพิกถอนอย่างไร เหตุการณ์ครั้งถัดไปจะถามถึงสิ่งนั้นพอดี