Mật khẩu VPN so với chứng chỉ máy khách: cái nào phục hồi nhanh hơn

Một triển khai yêu cầu tên người dùng và mật khẩu, một triển khai khác yêu cầu chứng chỉ máy khách, và cái thứ ba yêu cầu cả hai. Lựa chọn này thay đổi nhiều hơn cả hộp đăng nhập: nó quyết định thông tin đăng nhập được cấp như thế nào, hết hạn ra sao, việc phục hồi lúc 2 giờ sáng trông như thế nào và ai có thể thu hồi quyền truy cập của đúng một thiết bị. Hãy so sánh vòng đời vận hành, không phải hộp thoại.

Mật khẩu là một bí mật tài khoản được xác thực bởi quy trình xác thực, trong khi chứng chỉ là danh tính cùng bằng chứng sở hữu khóa riêng của nó. Đây là những đối tượng khác nhau với các kiểu lỗi khác nhau.

Hai bằng chứng khác nhau, hai hộp thoại khác nhau

Mật khẩu chứng minh kiến thức về một bí mật chung, vì vậy máy chủ so sánh một hàm băm và hệ thống tài khoản sở hữu vòng đời. Chứng chỉ chứng minh quyền sở hữu khóa riêng, và máy chủ xác minh chuỗi chữ ký đến một CA mà nó tin cậy. Cái thứ hai có thể nhận diện thiết bị thay vì con người, đó là lý do các triển khai thường cấp một chứng chỉ cho mỗi máy tính xách tay. Cụm mật khẩu bảo vệ tệp khóa lại là điều thứ ba: nó canh giữ tệp khi lưu trữ và không phải mật khẩu tài khoản VPN.

Việc xác minh máy chủ vẫn cần thiết trong mọi kết hợp. Thông tin đăng nhập hợp lệ được gửi đến một điểm cuối mà bạn đã ngừng kiểm tra danh tính vẫn là thông tin được trao cho người đã trả lời, vì vậy việc kiểm tra chứng chỉ máy chủ thuộc về hồ sơ cơ bản chứ không phải bước khắc phục sự cố.

Cấp phát, hết hạn và thu hồi mới là chi phí thực sự

Mật khẩu rẻ để cấp và đắt để hỗ trợ: đặt lại, chính sách, tái sử dụng và hàng đợi bộ phận trợ giúp. Chứng chỉ chuyển chi phí đó lên phía trước, nơi bạn cần CA, quy trình ký và kênh phân phối, rồi thêm một lịch hết hạn mà không ai nhớ. Cả hai đều cần thu hồi có kế hoạch. Chứng chỉ bị thu hồi cần CRL mà mọi máy chủ thực sự đọc, và tài khoản bị vô hiệu hóa cần phần phụ trợ xác thực từ chối nó ở kết nối tiếp theo chứ không phải ở lần đồng bộ tiếp theo.

Không cơ chế nào trở nên an toàn chỉ vì nó tồn tại. Câu hỏi là nhóm có thể vận hành vòng đời nào một cách nhất quán.

Điều gì hỏng khi mất thiết bị

Với một máy tính xách tay bị mất, hãy gỡ bỏ quyền mà thiết bị đó thực sự đã dùng. Đặt lại mật khẩu không thu hồi chứng chỉ của nó, và cấp chứng chỉ mới không thay đổi mật khẩu của một tài khoản không liên quan. Danh tính riêng cho từng thiết bị giúp việc gỡ bỏ có mục tiêu trở nên khả thi, trong khi thông tin đăng nhập dùng chung nghĩa là gỡ một thiết bị ảnh hưởng đến nhiều thiết bị. Viết quy trình phục hồi cho từng cơ chế trước khi bạn cần, kể cả ai có thể ký chứng chỉ thay thế ngoài giờ làm việc.

Hãy diễn tập đường thu hồi thay vì giả định: thu hồi một danh tính thử nghiệm, xác nhận máy chủ từ chối nó trên kết nối mới, rồi khôi phục. Một quy trình thu hồi chưa từng diễn tập thường thất bại đúng lúc cần đến.

Vận hành cả hai mà không nhân đôi công việc

Nhiều triển khai cố ý kết hợp cả hai: chứng chỉ cho thiết bị và thông tin đăng nhập tài khoản cho con người, để một chiếc máy tính xách tay bị đánh cắp là không đủ và một mật khẩu bị rò rỉ cũng không đủ. Sự kết hợp đó chỉ sinh lợi khi hai vòng đời vẫn tách biệt và cả hai đều được tự động hóa. Nếu không, bộ phận trợ giúp vận hành hai hàng đợi và lợi ích bảo mật vẫn chỉ là lý thuyết.

Chọn phương thức mà máy khách của dịch vụ và công cụ quản lý thực sự hỗ trợ. Làm yếu việc xác minh để một hồ sơ không khớp có thể kết nối sẽ đảo ngược toàn bộ mục đích, và một hồ sơ được chỉnh sửa cho đến khi kết nối được thường là hồ sơ không còn kiểm tra điều nó được tạo ra để kiểm tra.

Ghi lại bằng chứng nào mỗi triển khai yêu cầu và cách thu hồi từng loại. Sự cố tiếp theo sẽ hỏi chính xác điều đó.