Het 'n iPad sy eie VPN-kliëntsertifikaat nodig?

'n Nuwe iPad sluit by die span aan, en die vinnigste pad is om die bestaande kliëntsertifikaat uit te voer en op die tablet te installeer. Dit werk totdat iemand vertrek, 'n toestel verloor of 'n oudit vra wat sê watter toestel wanneer gekoppel het. Die besluit gaan nie oor die sertifikaatlêer nie, maar oor identiteit: of elke toestel op sy eie gemagtig en herroep kan word. Koste en bestuurswerk bepaal die antwoord, en albei is kleiner as wat dit lyk.

Gedeelde uitreiker, aparte identiteite

Elke toestel kan dieselfde sertifikaatowerheid vertrou en aan dieselfde gateway koppel terwyl dit 'n ander kliëntidentiteit hou. Die uitreiker is 'n vertrouensanker, terwyl die identiteit 'n sleutelpaar is wie se subjek die bediener aan 'n beleid koppel. Om die twee te verwar, is wat 'n gedeelde sertifikaat onskadelik laat voel. Dit bly onskadelik net totdat iemand moet weet watter toestel 'n sessie oopgemaak het.

Om die uitreiker te deel spaar konfigurasiewerk en verander niks aan verantwoordbaarheid per toestel nie. Om die identiteit te deel, vou elke toestel in een herroeibare eenheid saam: herroep een, herroep almal, en die magtiging van 'n vervanging magtig elke kopie van die sleutel wat ooit gemaak is. Daardie ruil is die moeite werd om eksplisiet te maak eerder as om 'n lêer te kopieer omdat dit vinniger is op 'n Vrydagmiddag.

Wanneer 'n tweede sertifikaat te veel kos

Registrasie per toestel kos 'n stap: 'n bestuurde pakket, 'n SCEP-versoek of 'n begeleide invoer met 'n eenmalige wagwoord. Dit kos ook 'n plek om reeksnommers en vervaldatums na te spoor, die deel wat die meeste ontplooiings vergeet totdat die eerste sertifikaat verval. Albei koste is eenmalig, en albei krimp sodra die registrasievloei hulle outomatiseer.

Die koste is werklik vir 'n huishouding met twee tablets en een gebruiker, waar 'n gedeelde identiteit 'n redelike besluit is wat in een sin gedokumenteer word. Dit is nie redelik vir 'n diens waar toegang per persoon of per toestel onttrek moet word nie, want die herroepingsverhaal is die hele rede om sertifikate in plaas van 'n wagwoord te gebruik. Beoordeel die ontplooiing aan hoe dikwels toestelle van hande verwissel, nie aan hoeveel toestelle vandag bestaan nie.

Registreer die toestel, moenie die sleutel kopieer nie

Moderne platforms hou private sleutels in 'n beskermde stoor, en sommige merk hulle by ontwerp as nie-uitvoerbaar. Daardie eienskap is wat kopiëring in die eerste plek onmoontlik maak, en dit is ook hoekom 'n uitgevoerde bondel van 'n skootrekenaar nie sommer op 'n tablet heringevoer kan word op enige ondersteunde manier nie. Om dit tog te probeer, lewer 'n profiel wat skoon installeer en dan nooit authentiseer nie.

Gebruik die registrasiemetode wat die ontplooiing reeds ondersteun: 'n bestuurde identiteitspakket, 'n SCEP-diens of 'n rekeninggebaseerde vloei wat 'n nuwe sleutel op die toestel uitreik. Om die sertifikaatowerheid se private sleutel te versprei om 'n ontbrekende identiteit op te los, is 'n ander fout met 'n veel groter impak. Die owerheid reik geloofsbriewe uit en behoort nooit na die eindpunt te reis nie.

Kontroleer herroeping voordat jy antwoord

Voordat jy die gedeelde opsie kies, beskryf hoe herroeping op die slegste dag lyk. As die antwoord een aksie is wat verskeie toestelle raak, het die ontwerp al teen jou besluit.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Ondersoek die materiaal wat jy werklik het: of 'n private sleutel teenwoordig is, wat die subjek sê en of die reeksnommer individueel herroep kan word. 'n Sertifikaatlêer sonder sy sleutel kan niks authentiseer nie, en dit is hoekom sommige gekopieerde identiteite by die eerste verbinding misluk.

Om 'n app van die tablet te verwyder is nie herroeping nie, en die bediener hou aan om die identiteit te aanvaar totdat iemand dit deaktiveer. Skryf daardie sin in die runbook voordat die eerste toestel geregistreer word.