لماذا يطلب منك تسجيل VPN زيارة المكتب

أن يُطلب منك الحضور شخصيًا للحصول على حساب VPN يبدو وكأنه قيد تقني، وهو ليس كذلك على الإطلاق. لا رأي لبروتوكول النفق في المكان الذي تقف فيه. ما تنفذه الزيارة هو قرار بشأن الهوية: يجب أن يقتنع شخص في المؤسسة بأن الشخص الذي يتلقى بيانات الاعتماد هو الشخص الموجود في السجل. وفهم أي قرار يحتاج إلى ذلك الضمان هو ما يحوّل الجدال حول الرحلة إلى مشكلة قابلة للحل.

ثلاثة طلبات تبدو متشابهة

الموظف الجديد يحتاج إلى إثبات هويته وتأكيد أهليته والموافقة على وصوله، ولا شيء من ذلك يأتي من طلب شهادة أو اسم عرض في بريد إلكتروني. المستخدم الحالي الذي يغيّر كلمة المرور يحتاج إلى طريقة معتمدة للتحقق من التغيير، وهذا سؤال آخر. ومن فقد كل وسيلة مصادقة مقبولة يحتاج إلى الاستعادة، وهذه أخطر الحالات الثلاث، لأن الشخص الذي يطلبها قد يكون محتالًا يحاول استبدال الأدلة التي كانت ستوقفه عادةً.

لا ينبغي أن تشترك هذه الحالات افتراضيًا في إجراء غير رسمي واحد. امتلاك رقم موظف أو الوصول إلى صندوق بريد غير موثّق ليس بديلاً عن الفحص الذي اختارته المؤسسة.

ما تثبته الزيارة وما لا تثبته

إثبات الهوية عملية ذات مراحل وليس مكانًا. تُفصل إرشادات مثل إرشادات NIST لإثبات الهوية بين تحديد الهوية، والتحقق من الأدلة الكامنة وراءها، والتأكد من أن مقدم الطلب هو الشخص الذي تصفه تلك الأدلة. يمكن أن تكون كل مرحلة بحضور أو بدون حضور، عن بُعد أو في الموقع، ويعتمد الضمان على كيفية تنفيذها جميعًا. تخطي مرحلة ما قرار بشأن المخاطر، وليس اختصارًا عبر الأعمال الورقية.

الوقوف في مكتب لا ينفذ أيًا من تلك المراحل بحد ذاته. مكالمة الفيديو أيضًا لا تنفذ أيًا منها بحد ذاتها، ولهذا فإن العملية عن بُعد ليست أضعف تلقائيًا والعملية في الموقع ليست مكتملة تلقائيًا.

المشغلون المدربون ومعالجة الأدلة والضوابط التقنية هي ما يحمل الضمان، والموقع لا يقيّد سوى طريقة تطبيقها. مكتب في موقع مع مشغل غير مدرب ليس عملية قوية.

اطلب البديل المعتمد

إذا كانت الرحلة غير عملية فعلاً، فاسأل المالك المحدد عما إذا كانت هناك طريقة معتمدة للوصول عن بُعد أو للاستعادة. لا تتفاوض على استثناء مع مسؤول فردي، لأن ذلك ينتج بيانات اعتماد لا يستطيع أحد تدقيقها وسابقة لم يوافق عليها أحد. المسار المعتمد موثّق عادةً، حتى عندما لم يطلبه أحد مؤخرًا.

حيث تُشترط خطوة في الموقع، فاعرف بدقة أي مرحلة تلبيها. الزيارة التي تتحقق من الأدلة مطلب مختلف عن زيارة تشهد على توقيع، ولكل منهما بدائل مختلفة.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

أبقِ المراحل اللاحقة صريحة

التحقق ليس نهاية العملية. تحتاج الموافقة على الوصول وربط بيانات الاعتماد والتسليم كل منها إلى سجل خاص به، وينبغي كتابة نطاق الجهاز والموارد المقصودة بدلاً من افتراضه.

حافظ أيضًا على مسار الاستعادة المصرح به، لأن المستخدم الذي لا يستطيع الاستعادة سيجد مسارًا غير رسمي. تعامل مع أي بيانات اعتماد مكشوفة من خلال عملية إزالتها الفعلية. الزيارة المكتملة أو تغيير كلمة المرور لا يبطل الجلسات النشطة الأخرى بحد ذاته، وهذه الفجوة هي حيث تستمر معظم الحوادث.

السؤال الذي يجب حمله إلى المالك ضيق إذن: أي قرار يحتاج إلى ضمان شخصي، وما الطريقة المعتمدة للوصول إلى الضمان نفسه عندما تكون الرحلة مستحيلة. هذا السؤال يمكن الإجابة عنه، أما الشكوى من الرحلة فلا.