Authentifizierung mit Zertifikat für Remote-Access-VPN

Hallo liebe Community,

ich bräuchte eine Einschätzung zu folgendem Sachverhalt:

Interne Sicherheitsrichtlinien schreiben korrekterweise eine 2-Faktor-Authentifizierung an unseren Remote-Access-VPN-Zugängen vor. Wir realisieren diese Vorgabe bisher mittels TOTP-App und verwenden eine Sophos XGS als VPN-Gateway.

Der Prozess sieht so aus, dass sich Mitarbeiterinnen und Mitarbeiter intern am VPN-Portal anmelden und eine TOTP-App mit dem QR-Code "beglücken" müssen. Die dienstlichen Geräte haben Sophos Connect installiert und das VPN-Profil wird über die Provierungs-Funktion der XGS auf den Clients importiert. Wenn sich die Geräte also außerhalb der Firma befinden, starten die Endanwender Sophos Connect und verbinden sich mit Benutzername + Passwort + TOTP aus der App mit dem VPN der XGS (Wir verwenden SSL-VPN). So sieht die Konfig im Bereich der Windows-& Mac-Endpoints aus und hier möchten wir erstmal nichts ändern.

Im mobilen Bereich (wir setzen ausschließlich auf iOS-Geräte) sieht die Verwendung ähnlich aus, wobei wir hier die OpenVPN-App verwenden. Leider ist der Komfort in der genannten Konfiguration bzw. Kombination mit OpenVPN + SSL-VPN und TOTP etwas verbesserungswürdig. Wir haben einige MAs die damit nicht klar kommen und sich beschweren. Die iOS-Devices sind allesamt in einem MDM und vollständig/supervised verwaltet.

Die Sophos XGS bietet im Bereich des iPSec-VPN als Authentifizierungsverfahren auch "Zertifikat" an. Allerdings kann hier nur ein einziges "zentrales" Zertifikat verwendet werden. Zusätzlich zum Zertifikat werden natürlich auch Benutzername + Passwort abgefragt. Ich könnte mir vorstellen, ein solches Zertifikat per MDM-Policy auf den Geräten zu verteilen und ein IPSec-VPN-Profil zu verteilen (somit wäre OpenVPN/SSL-VPN auf den iOS-Geräten nicht mehr nötig). Das Zertifikat kann vom User nicht entfernt, eingesehen oder exportiert werden.

Ich frage mich aber gerade wie das aus Sicherheitssicht zu bewerten ist.

1) Wie kritisch ist es, dass nur ein Zertifikat auf X Geräten verwendet werden kann?

2) Formal sind die Anforderung an 2-FA die Komponenten "Wissen" und "Haben" - die Kolleginnen/Kollegen müssen ihr Passwort >wissen< und das Zertifikat auf dem dienstlichen Gerät installiert >haben<. Formell ist also 2FA meines Erachtens eingehalten - wie ist das zu bewerten?

Danke!

If you've selected a digital certificate, upload a remote certificate, or configure a locally-signed certificate on Certificates > Certificates, then select it here.  
Don't select the option External certificate.