هل يحتاج iPad إلى شهادة عميل VPN خاصة به؟

ينضم iPad جديد إلى الفريق، وأسرع طريق هو تصدير شهادة العميل الموجودة وتثبيتها على الجهاز اللوحي. ينجح ذلك إلى أن يغادر شخص ما، أو يفقد جهازًا، أو يطلب تدقيقًا يحدد أي جهاز اتصل ومتى. القرار لا يتعلق بملف الشهادة بل بالهوية: ما إذا كان يمكن تخويل كل جهاز وإلغاؤه بمفرده. التكلفة وجهد الإدارة يقرران الجواب، وكلاهما أصغر مما يبدو.

مُصدر واحد، هويات منفصلة

يمكن لكل جهاز أن يثق بسلطة الشهادة نفسها ويتصل بالبوابة نفسها بينما يحمل هوية عميل مختلفة. المُصدر هو مرتكز ثقة، أما الهوية فهي زوج مفاتيح يربط الخادم موضوعه بسياسة. الخلط بين الاثنين هو ما يجعل الشهادة المشتركة تبدو غير ضارة. وهي تبقى غير ضارة فقط حتى يحتاج أحد إلى معرفة أي جهاز فتح جلسة.

مشاركة المُصدر توفر عمل الإعداد ولا تغير شيئًا في المساءلة لكل جهاز. أما مشاركة الهوية فتجمع كل جهاز في وحدة واحدة قابلة للإلغاء: إلغاء واحد يلغي الجميع، وتخويل بديل يخوّل كل نسخة من المفتاح صُنعت يومًا. هذه المقايضة تستحق أن تُتخذ صراحةً بدلًا من نسخ ملف لأنه أسرع في ظهيرة يوم جمعة.

عندما تكلف الشهادة الثانية أكثر من اللازم

يكلف التسجيل لكل جهاز خطوة: حمولة مُدارة، أو طلب SCEP، أو استيراد موجّه بكلمة مرور لمرة واحدة. ويكلف أيضًا مكانًا لتتبع الأرقام التسلسلية وتواريخ الانتهاء، وهو الجزء الذي تنساه معظم عمليات النشر حتى تنتهي أول شهادة. كلتا التكلفتين لمرة واحدة، وكلتاهما تتقلصان بمجرد أن تؤتمت عملية التسجيل نفسها.

التكلفة حقيقية لأسرة تضم جهازين لوحيين ومستخدمًا واحدًا، حيث تكون الهوية المشتركة قرارًا معقولًا موثقًا في جملة واحدة. وهي ليست معقولة لخدمة يجب فيها سحب الوصول لكل شخص أو لكل جهاز، لأن قصة الإلغاء هي السبب كله لاستخدام الشهادات بدلًا من كلمة مرور. احكم على النشر بعدد مرات انتقال الأجهزة بين الأيدي، لا بعدد الأجهزة الموجودة اليوم.

سجّل الجهاز، لا تنسخ المفتاح

تحتفظ المنصات الحديثة بالمفاتيح الخاصة في مخزن محمي، وبعضها يسمها غير قابلة للتصدير بحكم التصميم. هذه الخاصية هي ما يجعل النسخ مستحيلًا من الأساس، وهي أيضًا سبب عدم إمكانية إعادة استيراد حزمة مُصدَّرة من حاسوب محمول على جهاز لوحي بأي طريقة مدعومة. ومحاولة ذلك مع ذلك تنتج ملفًا شخصيًا يُثبَّت بسلاسة ثم لا يوثّق أبدًا.

استخدم طريقة التسجيل التي يدعمها النشر بالفعل: حمولة هوية مُدارة، أو خدمة SCEP، أو تدفق قائم على الحساب يصدر مفتاحًا جديدًا على الجهاز. توزيع المفتاح الخاص لسلطة الشهادة لحل هوية مفقودة خطأ مختلف بنطاق تأثير أكبر بكثير. السلطة تصدر بيانات الاعتماد ولا ينبغي أن تنتقل إلى الطرف النهائي أبدًا.

تحقق من الإلغاء قبل أن تجيب

قبل اختيار الخيار المشترك، صف كيف يبدو الإلغاء في أسوأ يوم. إذا كان الجواب إجراءً واحدًا يؤثر في عدة أجهزة، فقد قرر التصميم ضدك مسبقًا.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

افحص المادة التي تملكها فعلًا: هل يوجد مفتاح خاص، وماذا يقول الموضوع، وهل يمكن إلغاء الرقم التسلسلي فرديًا. ملف شهادة بلا مفتاحه لا يستطيع توثيق أي شيء، وهذا سبب فشل بعض الهويات المنسوخة عند أول اتصال.

حذف تطبيق من الجهاز اللوحي ليس إلغاءً، ويظل الخادم يقبل الهوية حتى يعطلها أحد. اكتب تلك الجملة في دليل التشغيل قبل تسجيل أول جهاز.