Mga password ng VPN kumpara sa mga sertipiko ng kliyente: alin ang mas mabilis na bumangon

Isang deployment ang humihingi ng username at password, isa pa ng sertipiko ng kliyente, at ang pangatlo ay pareho. Binabago ng pagpili ang higit pa sa login window: ito ang nagtatakda kung paano inisyu ang mga kredensyal, paano nag-e-expire, ano ang hitsura ng pagbawi sa 2 ng madaling-araw at sino ang makakapag-revoke ng access para sa eksaktong isang device. Ihambing ang operational lifecycle, hindi ang dialog box.

Ang password ay isang lihim ng account na pinapatunayan ng proseso ng authentication, habang ang sertipiko ay isang pagkakakilanlan kasama ang patunay ng pagmamay-ari ng pribadong key nito. Magkaibang bagay ang mga ito na may magkaibang paraan ng pagpalya.

Dalawang magkaibang patunay, dalawang magkaibang window

Pinatutunayan ng password ang kaalaman sa isang pinagsasaluhang lihim, kaya inihahambing ng server ang hash at ang account system ang may-ari ng lifecycle. Pinatutunayan ng sertipiko ang pagmamay-ari ng pribadong key, at bine-verify ng server ang chain ng lagda hanggang sa CA na pinagkakatiwalaan nito. Ang pangalawa ay maaaring tumukoy sa device sa halip na tao, kaya madalas mag-isyu ang mga deployment ng isa kada laptop. Ang passphrase na nagpoprotekta sa key file ay pangatlong bagay na naman: binabantayan nito ang file habang nakapahinga at hindi ito ang password ng VPN account.

Nananatiling kailangan ang verification ng server sa bawat kombinasyon. Ang mga valid na kredensyal na ipinadala sa isang endpoint na hindi mo na sinusuri ang pagkakakilanlan ay kredensyal pa ring ibinigay sa sumagot, kaya ang pagsusuri ng sertipiko ng server ay kabilang sa baseline profile at hindi sa hakbang ng troubleshooting.

Ang pag-isyu, pag-expire at pag-revoke ang tunay na gastos

Mura ang pag-isyu ng password at mahal ang pagsuporta: mga reset, patakaran, muling paggamit at pila ng helpdesk. Inililipat ng mga sertipiko ang gastos na iyon sa unahan, kung saan kailangan mo ng CA, proseso ng paglagda at channel ng distribusyon, at pagkatapos ay nagdadagdag ng kalendaryo ng pag-expire na walang nakakaalala. Kailangan ng pareho ng planadong pag-revoke. Ang na-revoke na sertipiko ay nangangailangan ng CRL na talagang binabasa ng bawat server, at ang na-disable na account ay nangangailangan na tanggihan ito ng authentication backend sa susunod na koneksyon at hindi sa susunod na sync.

Walang mekanismong nagiging secure dahil lang sa umiiral ito. Ang tanong ay aling lifecycle ang kayang patakbuhin ng team nang tuloy-tuloy.

Ano ang nasisira kapag nawala ang isang device

Para sa nawawalang laptop, alisin ang authorization na aktwal na ginamit ng device na iyon. Ang pag-reset ng password ay hindi nagre-revoke ng sertipiko nito, at ang pag-isyu ng bagong sertipiko ay hindi nagbabago ng password ng walang kaugnayang account. Ang magkahiwalay na pagkakakilanlan kada device ay nagpapahintulot ng target na pag-alis, habang ang pinagsasaluhang kredensyal ay nangangahulugang ang pag-alis ng isang device ay nakakaapekto sa ilan. Isulat ang pamamaraan ng pagbawi para sa bawat mekanismo bago mo ito kailanganin, kasama kung sino ang makakalagda ng kapalit na sertipiko sa labas ng oras ng trabaho.

Sanayin ang landas ng pag-revoke sa halip na ipagpalagay ito: i-revoke ang isang test identity, kumpirmahin na tinatanggihan ito ng server sa bagong koneksyon, pagkatapos ay ibalik. Ang proseso ng pag-revoke na hindi kailanman sinanay ay may tendensiyang pumalya sa eksaktong sandaling kailangan ito.

Patakbuhin ang pareho nang hindi dinodoble ang trabaho

Maraming deployment ang sadyang pinagsasama ang dalawa: sertipiko para sa device at kredensyal ng account para sa tao, kaya hindi sapat ang nakaw na laptop at hindi rin sapat ang tumagas na password. Ang kombinasyong iyon ay sulit lamang kapag nananatiling magkahiwalay ang dalawang lifecycle at pareho ay automated. Kung hindi, may dalawang pila ang helpdesk at nananatiling teoretikal ang kita sa seguridad.

Piliin ang paraang aktwal na sinusuportahan ng mga kliyente ng serbisyo at ng mga tool sa pamamahala. Ang pagpapahina ng verification para makakonekta ang isang hindi tugmang profile ay binabaligtad ang buong layunin, at isang profile na in-edit hanggang makakonekta ay madalas na isa na hindi na sinusuri ang para saan ito ginawa.

Itala kung anong patunay ang kailangan ng bawat deployment at kung paano ini-revoke ang bawat isa. Itatanong ng susunod na insidente ang eksaktong iyon.