Hoekom VPN-inskrywing jou vra om die kantoor te besoek

Om gevra te word om persoonlik vir ’n VPN-rekening op te daag, voel soos ’n tegniese beperking, en dit is niks van die soort nie. Die tonnelprotokol het geen mening oor waar jy staan nie. Wat die besoek implementeer, is ’n besluit oor identiteit: iemand in die organisasie moet oortuig wees dat die persoon wat die geloofsbrief ontvang, die persoon op die rekord is. Om te verstaan watter besluit daardie versekering nodig het, is wat ’n argument oor die reis in ’n oplosbare probleem verander.

Drie versoeke wat dieselfde lyk

’n Nuweling het nodig dat hul identiteit vasgestel, hul bevoegdheid bevestig en hul toegang goedgekeur word, en nie een daarvan volg uit ’n sertifikaatversoek of ’n vertoonnaam in ’n e-pos nie. ’n Bestaande gebruiker wat ’n wagwoord verander, het ’n goedgekeurde manier nodig om die verandering te verifieer, wat weer ’n ander vraag is. Iemand wat elke aanvaarde verifikasiemiddel verloor het, het herwinning nodig, en dit is die gevaarlikste van die drie, want die persoon wat vra kan ’n bedrieër wees wat die bewyse wil vervang wat hulle normaalweg sou keer.

Daardie gevalle moet nie by verstek een informele prosedure deel nie. Besit van ’n werknemernommer of toegang tot ’n ongeverifieerde posbus is nie ’n plaasvervanger vir die kontrole wat die organisasie gekies het nie.

Wat ’n besoek bewys en nie bewys nie

Identiteitsbewys is ’n proses met fases eerder as ’n plek. Riglyne soos NIST se identiteitsbewysriglyne skei die vasstel van ’n identiteit, die validering van die bewyse daaragter, en die verifiëring dat die aansoeker die persoon is wat daardie bewyse beskryf. Elke fase kan bygewoon of onbygewoon, op afstand of op die perseel wees, en die versekering hang daarvan af hoe almal uitgevoer word. Om ’n fase oor te slaan is ’n besluit oor risiko, nie ’n kortpad deur papierwerk nie.

Om in ’n kantoor te staan voer nie een van daardie fases op sigself uit nie. ’n Videoproep voer ook nie een daarvan op sigself uit nie, en daarom is ’n afstandsproses nie outomaties swakker nie en ’n proses op die perseel nie outomaties volledig nie.

Opleide operateurs, bewyshantering en tegniese kontroles dra die versekering, en die ligging beperk net hoe hulle toegepas kan word. ’n Lessenaar in ’n kantoor met ’n onopgeleide operateur is nie ’n sterk proses nie.

Vra vir die goedgekeurde alternatief

As reis werklik onprakties is, vind by die aangewese eienaar uit of daar reeds ’n goedgekeurde afstands- of herwinningsmetode bestaan. Moenie ’n uitsondering met ’n individuele administrateur beding nie, want dit lewer ’n geloofsbrief op wat niemand kan oudit nie en ’n presedent waartoe niemand ingestem het nie. Die goedgekeurde pad is gewoonlik gedokumenteer, selfs wanneer niemand onlangs daarvoor gevra het nie.

Waar ’n stap op die perseel vereis word, vind presies uit watter fase dit bevredig. ’n Besoek wat bewyse verifieer, is ’n ander vereiste as een wat ’n handtekening getuig, en die twee het verskillende alternatiewe.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Hou die latere fases eksplisiet

Verifiëring is nie die einde van die proses nie. Toegangsgoedkeuring, die binding van geloofsbriewe en aflewering het elkeen sy eie rekord nodig, en die omvang van die beoogde toestel en hulpbron moet neergeskryf word eerder as aangeneem.

Bewaar ook die gemagtigde herwinningsroete, want ’n gebruiker wat nie kan herwin nie, sal ’n informele een vind. Hanteer enige blootgestelde geloofsbrief deur die werklike verwyderingsproses daarvan. ’n Voltooide besoek of ’n wagwoordverandering herroep nie op sigself ander aktiewe sessies nie, en dit is die gaping waar die meeste voorvalle voortduur.

Die vraag om na die eienaar terug te neem is dus eng: watter besluit het persoonlike versekering nodig, en wat is die goedgekeurde manier om dieselfde versekering te bereik wanneer reis onmoontlik is. Daardie vraag kan beantwoord word, en ’n klag oor die reis nie.