Защо записването за VPN ви кара да посетите офиса

Искането да се явите лично за VPN акаунт изглежда като техническо ограничение, а то няма нищо общо с това. Тунелният протокол няма мнение къде стоите. Посещението реализира решение за самоличността: някой в организацията трябва да се увери, че човекът, който получава идентификационните данни, е човекът в записа. Разбирането кое решение изисква тази увереност превръща спора за пътуването в разрешим проблем.

Три заявки, които изглеждат еднакво

Новият служител се нуждае от установяване на самоличността, потвърждаване на правото и одобрение на достъпа и нито едно от тях не следва от заявка за сертификат или показно име в имейл. Съществуващ потребител, който сменя парола, се нуждае от одобрен начин за удостоверяване на промяната, което е съвсем друг въпрос. Този, който е загубил всички приети средства за автентикация, се нуждае от възстановяване и това е най-опасното от трите, защото този, който иска, може да е измамник, който се опитва да замени доказателствата, които обикновено биха го спрели.

Тези случаи не бива по подразбиране да споделят една неформална процедура. Притежаването на служебен номер или достъпът до непроверена пощенска кутия не замества проверката, която организацията е избрала.

Какво доказва посещението и какво не

Доказването на самоличност е процес с етапи, а не място. Насоки като насоките на NIST за доказване на самоличност разделят установяването на самоличност, проверката на доказателствата зад нея и потвърждаването, че кандидатът е лицето, което тези доказателства описват. Всеки етап може да бъде с присъствие или без, от разстояние или на място, а увереността зависи от това как се изпълняват всички те. Пропускането на етап е решение за риска, а не пряк път през документацията.

Стоенето в офис само по себе си не изпълнява нито един от тези етапи. Видеообаждането също само по себе си не изпълнява нито един от тях, затова отдалеченият процес не е автоматично по-слаб, а процесът на място не е автоматично пълен.

Увереността се носи от обучени оператори, работа с доказателства и технически контроли, а местоположението само ограничава как могат да бъдат приложени. Бюро в офис с необучен оператор не е силен процес.

Поискайте одобрената алтернатива

Ако пътуването е наистина непрактично, разберете от определения собственик дали вече съществува одобрен отдалечен метод или метод за възстановяване. Не преговаряйте за изключение с отделен администратор, защото това създава идентификационни данни, които никой не може да одитира, и прецедент, с който никой не е съгласен. Одобреният път обикновено е документиран, дори когато наскоро никой не го е искал.

Когато се изисква стъпка на място, разберете точно кой етап тя удовлетворява. Посещение, което проверява доказателства, е различно изискване от това, което удостоверява подпис, и двете имат различни алтернативи.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Пазете следващите етапи явни

Проверката не е краят на процеса. Одобрението на достъпа, обвързването на идентификационните данни и доставката всяко се нуждае от свой запис, а обхватът на предвиденото устройство и ресурс трябва да бъде записан, а не предположен.

Пазете и одобрения път за възстановяване, защото потребител, който не може да се възстанови, ще намери неформален. Работете с всяка разкрита идентификационна информация чрез действителния й процес за премахване. Завършено посещение или смяна на парола сами по себе си не отменят други активни сесии и точно в тази празнина повечето инциденти продължават.

Въпросът, който трябва да занесете на собственика, следователно е тесен: кое решение изисква увереност на живо и кой е одобреният начин да се постигне същата увереност, когато пътуването е невъзможно. На този въпрос може да се отговори, а на оплакване за пътуването — не.