Чаму рэгістрацыя VPN просіць вас прыйсці ў офіс

Просьба з’явіцца асабіста па VPN-акаўнт успрымаецца як тэхнічнае абмежаванне, але гэта зусім не так. Пратакол тунеля не мае меркавання пра тое, дзе вы стаіце. Візіт рэалізуе рашэнне пра ідэнтычнасць: нехта ў арганізацыі павінен пераканацца, што чалавек, які атрымлівае ўліковыя даныя, — гэта чалавек з запісу. Разуменне таго, якое рашэнне патрабуе такой упэўненасці, і ператварае спрэчку пра паездку ў вырашальную задачу.

Тры запыты, якія выглядаюць аднолькава

Новаму супрацоўніку трэба ўстанавіць ідэнтычнасць, пацвердзіць права і ўзгадніць доступ, і нішто з гэтага не вынікае з запыту на сертыфікат або паказанага імя ў электронным лісце. Існуючаму карыстальніку, які мяняе пароль, патрэбны ўзгоднены спосаб пацвердзіць змену, і гэта зусім іншае пытанне. Той, хто страціў усе прынятыя сродкі аўтэнтыфікацыі, мае патрэбу ў аднаўленні, і гэта найнебяспечнейшае з трох, бо той, хто просіць, можа быць махляром, які спрабуе замяніць доказы, якія звычайна яго б стрымалі.

Гэтыя выпадкі не павінны па змаўчанні дзяліць адну неафіцыйную працэдуру. Наяўнасць нумара супрацоўніка або доступ да неправеранай пошты не замяняе праверкі, якую абрала арганізацыя.

Што візіт даказвае і чаго не даказвае

Пацвярджэнне ідэнтычнасці — гэта працэс з этапамі, а не месца. Кіраўніцтвы, такія як кіраўніцтва NIST па пацвярджэнні ідэнтычнасці, раздзяляюць устанаўленне ідэнтычнасці, праверку доказаў, што за ёй стаяць, і пацверджанне таго, што заяўнік — гэта чалавек, якога апісваюць гэтыя доказы. Кожны этап можа быць з прысутнасцю або без, дыстанцыйна або на месцы, і ўпэўненасць залежыць ад таго, як усе яны выкананы. Пропуск этапу — гэта рашэнне пра рызыку, а не кароткі шлях праз паперы.

Стаяць у офісе само па сабе не выконвае ніводнага з гэтых этапаў. Відэазванок таксама сам па сабе не выконвае ніводнага з іх, таму дыстанцыйны працэс не абавязкова слабейшы, а працэс на месцы не абавязкова поўны.

Упэўненасць забяспечваюць навучаныя аператары, апрацоўка доказаў і тэхнічныя сродкі кантролю, а месца толькі абмяжоўвае тое, як іх можна ўжыць. Стол у офісе з ненавучаным аператарам — не моцны працэс.

Прасіце ўзгоджаную альтэрнатыву

Калі паездка сапраўды непрактычная, высветліце ў прызначанага ўладальніка, ці існуе ўжо ўзгоджаны дыстанцыйны спосаб або спосаб аднаўлення. Не дамаўляйцеся пра выключэнне з асобным адміністратарам, бо гэта стварае ўліковыя даныя, якія ніхто не можа праверыць, і прэцэдэнт, з якім ніхто не пагадзіўся. Узгоджаны шлях звычайна дакументаваны, нават калі ніхто нядаўна не прасіў пра яго.

Там, дзе патрабуецца этап на месцы, высветліце дакладна, які этап ён задавальняе. Візіт, які правярае доказы, — гэта іншае патрабаванне, чым той, што сведчыць подпіс, і ў іх розныя альтэрнатывы.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Трымайце наступныя этапы яўнымі

Праверка — не канец працэсу. Узгадненне доступу, прывязка ўліковых даных і дастаўка кожнае патрабуюць уласнага запісу, а абсяг меркаванай прылады і рэсурсу трэба запісаць, а не меркаваць.

Захавайце таксама ўзгоджаны шлях аднаўлення, бо карыстальнік, які не можа аднавіцца, знойдзе неафіцыйны. З любымі выяўленымі ўліковымі данымі працавайце праз іх фактычны працэс выдалення. Завершаны візіт або змена пароля самі па сабе не адклікаюць іншыя актыўныя сеансы, і менавіта ў гэтай прагалізе большасць інцыдэнтаў працягваецца.

Пытанне, якое трэба прынесці ўладальніку, таму вузкае: якое рашэнне патрабуе асабістай упэўненасці і які ўзгоджаны спосаб дасягнуць той жа ўпэўненасці, калі паездка немагчымая. На гэтае пытанне можна адказаць, а на скаргу пра паездку — не.