Normalement, lors du déploiement d'une solution SSL VPN avec une vérification de certificat, je déploierais une CA MS interne et configurerais une GPO pour distribuer des certificats d'ordinateur. Le nom d'utilisateur/mot de passe avec MFA prouve que l'utilisateur est bien celui qu'il prétend être et le certificat d'ordinateur valide que l'ordinateur appartient au domaine de l'entreprise. Récemment, j'ai eu un problème avec un client VPN qui ne pouvait pas lire le magasin d'ordinateur local sans avoir les droits d'administrateur local et selon la politique de l'entreprise, les utilisateurs n'ont pas ces droits. La solution suggérée était de délivrer un certificat d'utilisateur à la place. Par défaut, le modèle de certificat utilisateur permet l'exportation, donc nous avons créé un modèle personnalisé qui ne le permet pas.
Chaque guide que vous lisez pour la distribution de certificats internes pour ce type de configuration utilise des certificats d'ordinateur, mais la question est pourquoi? Est-ce vraiment plus ou moins sécurisé qu'un certificat utilisateur? Il n'est pas possible d'obtenir un certificat utilisateur à partir d'un ordinateur non conforme, ce qui est également le cas pour les certificats d'ordinateur. En réalité, cela semble accomplir le même objectif, la seule grande différence étant que le certificat d'ordinateur se trouve dans le magasin d'ordinateur local tandis que le certificat d'utilisateur se trouve dans le magasin de certificats de l'utilisateur. Vous avez besoin d'avoir les droits d'administration local pour lire le magasin d'ordinateur local, mais cela ne renforce pas vraiment la sécurité étant donné que les clés privées des certificats d'ordinateur ou d'utilisateur ne peuvent être exportées. Si vous installez des plugins Web supplémentaires sur le CA, vous pourriez permettre aux ordinateurs non conformes de demander des certificats, mais ces fonctionnalités ne sont pas activées.
En fin de compte, vous devez être sur un ordinateur conforme au domaine pour recevoir un certificat utilisateur, ce qui prouve essentiellement qu'il s'agit d'un bien de l'entreprise. Les certificats d'utilisateur ne seraient-ils pas plus faciles à gérer puisqu'ils ne nécessitent pas les droits d'administration local pour même les lire? Je ne vois vraiment aucune différence en termes de sécurité, mais si c'est le cas, pourquoi chaque guide suggère-t-il les certificats d'ordinateur? J'essaie d'éclaircir cela pour voir s'il y a un aspect que j'aurais mal compris, j'ai pensé qu'il serait utile de poser la question à une communauté plus large car j'en ai discuté avec de nombreux collègues et personne n'a pu trouver de problème ou de préoccupation en termes de sécurité.
