Нуждае ли се iPad от собствен клиентски сертификат за VPN?

Нов iPad се присъединява към екипа и най-бързият път е да експортирате съществуващия клиентски сертификат и да го инсталирате на таблета. Това работи, докато някой не напусне, не загуби устройство или не поиска одит, който да покаже кое устройство кога се е свързало. Решението не е за файла на сертификата, а за идентичността: дали всяко устройство може да бъде оторизирано и отменено самостоятелно. Разходите и усилията по управление решават отговора и двете са по-малки, отколкото изглеждат.

Общ издател, отделни идентичности

Всяко устройство може да се довери на същия сертификатен орган и да се свърже със същия шлюз, като същевременно носи различна клиентска идентичност. Издателят е котва на доверие, а идентичността е двойка ключове, чийто субект сървърът съпоставя с политика. Именно смесването на двете кара споделения сертификат да изглежда безобиден. Той остава безобиден само докато някой не се нуждае да знае кое устройство е отворило сесия.

Споделянето на издателя спестява работа по конфигурацията и не променя нищо в отчетността за всяко устройство. Споделянето на идентичността сгъва всяко устройство в една отменяема единица: отмяната на едно отменя всички, а оторизирането на замяна оторизира всяко копие на ключа, правено някога. Тази размяна си струва да бъде направена явно, вместо чрез копиране на файл, защото е по-бързо в петък следобед.

Когато вторият сертификат струва твърде скъпо

Регистрацията за всяко устройство струва една стъпка: управляван профил, заявка по SCEP или воден импорт с еднократна парола. Струва и място за проследяване на серийни номера и дати на изтичане, а това е частта, която повечето внедрявания забравят, докато първият сертификат не изтече. И двата разхода са еднократни и двата намаляват, щом потокът по регистрация ги автоматизира.

Разходът е реален за домакинство с два таблета и един потребител, където споделената идентичност е разумно решение, документирано в едно изречение. Той не е разумен за услуга, в която достъпът трябва да се отнема за всеки човек или всяко устройство, защото историята на отмяната е цялата причина да се използват сертификати вместо парола. Съдете внедряването по това колко често устройствата сменят собственик, а не по това колко устройства съществуват днес.

Регистрирайте устройството, не копирайте ключа

Съвременните платформи пазят частните ключове в защитено хранилище, а някои ги маркират като неекспортируеми по дизайн. Това свойство прави копирането невъзможно на първо място и също така е причината експортиран пакет от лаптоп да не може просто да се импортира отново на таблет по нито един поддържан начин. Опитът да се направи все пак дава профил, който се инсталира чисто и след това никога не удостоверява.

Използвайте метода за регистрация, който внедряването вече поддържа: управляван профил за идентичност, услуга по SCEP или поток, базиран на акаунт, който издава нов ключ на устройството. Разпространението на частния ключ на сертификатния орган, за да се реши липсваща идентичност, е друга грешка с много по-голям обхват. Органът издава удостоверения и никога не бива да пътува до крайната точка.

Проверете отмяната, преди да отговорите

Преди да изберете споделената опция, опишете как изглежда отмяната в най-лошия ден. Ако отговорът е едно действие, засягащо няколко устройства, дизайнът вече е решил срещу вас.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Прегледайте материала, който наистина държите: има ли частен ключ, какво казва субектът и може ли серийният номер да бъде отменен индивидуално. Файл със сертификат без ключа си не може да удостовери нищо, поради което някои копирани идентичности се провалят при първата връзка.

Изтриването на приложение от таблета не е отмяна и сървърът продължава да приема идентичността, докато някой не я деактивира. Запишете това изречение в процедурата, преди първото устройство да бъде регистрирано.