Паролі VPN чи сертифікати клієнта: що відновлюється швидше

Одне розгортання вимагає імені користувача й пароля, інше — сертифіката клієнта, третє — обох. Вибір змінює значно більше, ніж вікно входу: він визначає, як видаються облікові дані, як вони закінчуються, як виглядає відновлення о 2 годині ночі та хто може відкликати доступ рівно для одного пристрою. Порівнюйте експлуатаційний життєвий цикл, а не діалогове вікно.

Пароль — це секрет облікового запису, який перевіряє процес автентифікації, а сертифікат — це ідентичність плюс доказ володіння його приватним ключем. Це різні об’єкти з різними режимами відмови.

Два різні докази, два різні вікна

Пароль доводить знання спільного секрету, тому сервер порівнює хеш, а життєвим циклом володіє система облікових записів. Сертифікат доводить володіння приватним ключем, і сервер перевіряє ланцюжок підписів до CA, якому довіряє. Другий може ідентифікувати пристрій, а не людину, тому розгортання часто видають по одному на ноутбук. Парольна фраза, що захищає файл ключа, — це знову третє: вона охороняє файл у стані спокою і не є паролем облікового запису VPN.

Перевірка сервера залишається необхідною в будь-якій комбінації. Дійсні облікові дані, надіслані на кінцеву точку, чию ідентичність ви перестали перевіряти, усе ще є даними, переданими тому, хто відповів, тому перевірка сертифіката сервера належить базовому профілю, а не кроку усунення несправностей.

Видача, закінчення терміну та відкликання — це справжня вартість

Паролі дешево видавати й дорого підтримувати: скидання, політика, повторне використання та черга служби підтримки. Сертифікати переносять цю вартість наперед, де потрібні CA, процес підписування та канал розповсюдження, а потім додають календар закінчення терміну, який ніхто не пам’ятає. Обидва потребують запланованого відкликання. Відкликаному сертифікату потрібен CRL, який кожен сервер справді читає, а вимкнений обліковий запис потребує, щоб серверна частина автентифікації відмовила йому при наступному з’єднанні, а не при наступній синхронізації.

Жоден механізм не стає безпечним лише тому, що існує. Питання в тому, який життєвий цикл команда здатна вести послідовно.

Що ламається, коли пристрій втрачено

Для втраченого ноутбука видаліть авторизацію, яку цей пристрій справді використовував. Скидання пароля не відкликає його сертифікат, а видача нового сертифіката не змінює пароль не пов’язаного облікового запису. Окремі ідентичності для кожного пристрою дають змогу адресно видалити доступ, тоді як спільні облікові дані означають, що виведення одного пристрою зачіпає кілька. Опишіть процедуру відновлення для кожного механізму до того, як вона знадобиться, зокрема хто може підписати замінюваний сертифікат поза робочим часом.

Відпрацьовуйте шлях відкликання, а не припускайте його: відкличте тестову ідентичність, переконайтеся, що сервер відмовляє їй при новому з’єднанні, потім відновіть. Процес відкликання, який ніколи не відпрацьовували, зазвичай відмовляє саме тоді, коли потрібен.

Вести обидва, не подвоюючи роботу

Багато розгортань навмисно поєднують обидва: сертифікат для пристрою й облікові дані для людини, так що викраденого ноутбука недостатньо і витоку пароля теж недостатньо. Це поєднання окупається лише тоді, коли два життєві цикли залишаються роздільними і обидва автоматизовані. Інакше служба підтримки веде дві черги, а виграш у безпеці залишається теоретичним.

Виберіть метод, який справді підтримують клієнти сервісу та засоби керування. Послаблення перевірки, щоб підключився невідповідний профіль, перевертає весь сенс, і профіль, відредагований до стану підключення, часто вже не перевіряє те, для чого був створений.

Запишіть, який доказ вимагає кожне розгортання і як кожен відкликається. Наступний інцидент запитає саме це.