VPN parolaları ile istemci sertifikaları: hangisi daha hızlı toparlanır

Bir dağıtım kullanıcı adı ve parola ister, bir diğeri istemci sertifikası, üçüncüsü ikisini de. Bu seçim oturum açma penceresinden çok daha fazlasını değiştirir: kimlik bilgilerinin nasıl verildiğini, nasıl sürelerinin dolduğunu, gece saat 2’de kurtarmanın nasıl göründüğünü ve tam olarak tek bir cihazın erişimini kimin iptal edebileceğini belirler. Diyalog kutusunu değil, operasyonel yaşam döngüsünü karşılaştırın.

Parola, bir kimlik doğrulama süreci tarafından doğrulanan bir hesap sırrıdır; sertifika ise bir kimlik ve ona ait özel anahtarın sahipliğinin kanıtıdır. Bunlar farklı arıza modlarına sahip farklı nesnelerdir.

İki farklı kanıt, iki farklı pencere

Parola ortak bir sırrın bilinmesini kanıtlar, bu yüzden sunucu bir karma değeri karşılaştırır ve yaşam döngüsünün sahibi hesap sistemidir. Sertifika özel anahtar sahipliğini kanıtlar ve sunucu, güvendiği bir CA’ya kadar imza zincirini doğrular. İkincisi kişi yerine cihazı tanımlayabilir, bu yüzden dağıtımlar genellikle dizüstü bilgisayar başına bir tane verir. Anahtar dosyasını koruyan bir parola ifadesi yine üçüncü bir şeydir: dosyayı bekleme durumunda korur ve VPN hesabının parolası değildir.

Sunucu doğrulaması her kombinasyonda gerekli kalır. Kimliğini artık denetlemediğiniz bir uç noktaya gönderilen geçerli kimlik bilgileri yine de yanıt verene teslim edilmiş bilgilerdir, bu yüzden sunucu sertifikası denetimi sorun giderme adımına değil temel profile aittir.

Verme, süre sonu ve iptal gerçek maliyettir

Parolaları vermek ucuz, desteklemek pahalıdır: sıfırlamalar, politika, yeniden kullanım ve yardım masası kuyruğu. Sertifikalar bu maliyeti öne taşır; burada bir CA, imzalama süreci ve dağıtım kanalı gerekir, ardından kimsenin hatırlamadığı bir süre sonu takvimi eklenir. İkisi de planlı iptal gerektirir. İptal edilen sertifika her sunucunun gerçekten okuduğu bir CRL gerektirir; devre dışı bırakılan hesap ise bir sonraki eşitlemede değil, bir sonraki bağlantıda kimlik doğrulama arka ucunun onu reddetmesini gerektirir.

Hiçbir mekanizma yalnızca var olduğu için güvenli olmaz. Soru, ekibin hangi yaşam döngüsünü tutarlı biçimde yürütebildiğidir.

Bir cihaz kaybolduğunda ne bozulur

Kayıp bir dizüstü bilgisayar için o cihazın gerçekten kullandığı yetkilendirmeyi kaldırın. Parola sıfırlama sertifikasını iptal etmez ve yeni sertifika vermek ilgisiz bir hesabın parolasını değiştirmez. Cihaz başına ayrı kimlikler hedefli kaldırmayı mümkün kılar; paylaşılan kimlik bilgileri ise bir cihazın çıkarılmasının birkaçını etkilediği anlamına gelir. Her mekanizma için kurtarma yordamını ihtiyaç duymadan önce yazın; mesai dışında kimin yedek sertifika imzalayabileceği de dahil.

İptal yolunu varsaymak yerine prova edin: bir test kimliğini iptal edin, sunucunun yeni bağlantıda onu reddettiğini doğrulayın, sonra geri yükleyin. Hiç prova edilmemiş bir iptal süreci tam da ihtiyaç duyulduğu anda başarısız olma eğilimindedir.

İşi ikiye katlamadan ikisini birden yürütmek

Birçok dağıtım ikisini bilerek birleştirir: cihaz için sertifika ve kişi için hesap kimlik bilgisi, böylece çalınan bir dizüstü bilgisayar yeterli olmaz ve sızan bir parola da yeterli olmaz. Bu birleşim yalnızca iki yaşam döngüsü ayrı kaldığında ve ikisi de otomatikleştirildiğinde kazanç sağlar. Aksi halde yardım masası iki kuyruk yürütür ve güvenlik kazancı teorik kalır.

Hizmetin istemcilerinin ve yönetim araçlarının gerçekten desteklediği yöntemi seçin. Uyumsuz bir profilin bağlanması için doğrulamayı zayıflatmak bütün amacı tersine çevirir ve bağlanana kadar düzenlenmiş bir profil genellikle artık ne için inşa edildiğini denetlemeyen bir profildir.

Her dağıtımın hangi kanıtı gerektirdiğini ve her birinin nasıl iptal edildiğini kaydedin. Sonraki olay tam olarak bunu soracaktır.