Accés de clients per VPN: doneu al treball privilegiat el seu propi dispositiu

El perfil de connexió diu Production, el túnel s’aixeca i cada finestra de l’escriptori ja pot arribar als sistemes del client. Res d’aquesta seqüència no va separar la sessió privilegiada de la pestanya del navegador del costat. Un perfil VPN és un nom més un conjunt de rutes; la frontera que realment us importa es construeix amb la identitat del dispositiu, un entorn d’execució controlat i un camí per a les credencials. Aquests tres elements s’apliquen en llocs diferents, i per això afegir-ne un i saltar-se els altres produeix un disseny que sembla conforme i no ho és.

El nom d’un perfil no és una frontera

El client aplica les rutes i la configuració de DNS quan s’aixeca el túnel, i tot el que després s’executa en aquella màquina n’hereta les dues coses.

Un nom en un desplegable canvia què reconeix un operador, no què permet el sistema operatiu.

La identitat del dispositiu és el que la passarel·la pot comprovar

Una passarel·la que admet certificats de dispositiu o comprovacions d’estat autentica la màquina i també la persona. Aquesta és la capa que pot rebutjar una connexió des d’un portàtil no gestionat abans que ningú escrigui una contrasenya. També us dona alguna cosa concreta per revocar quan es perd un dispositiu. Copiar un certificat a tres màquines elimina exactament aquesta propietat, i per això el cicle de vida del certificat pertany a l’acord i no a una carpeta compartida.

El client decideix quins d’aquests controls exigeix la seva política, i una màquina virtual feta per un proveïdor pot no satisfer gens una comprovació d’estat.

On té fuites la frontera d’una màquina virtual

Una màquina virtual manté juntes les eines del client i l’estat de la xarxa, i això és realment útil. També depèn del seu amfitrió i de l’hipervisor, i diverses comoditats travessen la línia: carpetes compartides, integració del porta-retalls, agents de credencials i accés d’administració a nivell d’amfitrió. Un convidat privilegiat en un amfitrió d’ús diari no és fiable de manera independent, perquè l’amfitrió pot observar què fa el convidat. Tracteu la màquina virtual com un control que redueix l’exposició, no com un domini de seguretat separat.

Un dispositiu físic dedicat elimina la dependència de l’amfitrió i hi afegeix una obligació de manteniment.

Credencials i camins de transferència

Feu servir identitats individuals i revocables per enginyer i per client, i manteniu-les fora dels perfils personals del navegador i de l’historial de xat. Les credencials compartides per tot un equip no es poden atribuir, rotar ni revocar netament. Decidiu el camí de transferència per a eines, fitxers i sortida de diagnòstic abans de la primera sessió, perquè el moviment ad hoc de fitxers és com una frontera deixa de ser-ho en silenci. Si cal arribar a dos clients alhora, obteniu primer l’aprovació de la separació de xarxa i identitat.

No connecteu mai dues xarxes de clients a través d’una sola estació de treball només perquè aquella tarda era convenient.

L’acord que ho fa repetible

Escriviu un registre breu per client i guardeu-lo on les dues parts el puguin trobar. Hi ha de constar el dispositiu o entorn remot aprovat i qui el manté, les identitats permeses, els sistemes i operacions a què poden arribar, el camí de transferència i la manera normal com acaba una sessió.

Cinc línies que algú revisa quan una persona s’incorpora o marxa superen una política que ningú pot aplicar:

• Dispositiu o entorn remot aprovat, amb un responsable de manteniment nomenat.
• Identitats individuals d’usuari i de dispositiu permeses per al suport.
• Sistemes i operacions a què poden arribar aquestes identitats.
• Camí permès per a eines, fitxers i sortida de diagnòstic.
• Procés de final de sessió i una alternativa d’emergència autoritzada.

Accés d’emergència sense moure credencials

Quan un control bloqueja una reparació urgent, el camí és el procés d’excepció, no un segon portàtil que porta les mateixes credencials. Una excepció aprovada registra qui l’ha autoritzat, què s’ha relaxat i quan acaba. Moure una credencial a una màquina d’ús diari canvia la frontera en el pitjor moment possible, i normalment hi queda canviada després. La ruta d’emergència mereix un assaig mentre no hi ha res trencat.

Després tanqueu la sessió tal com diu l’acord i confirmeu que l’accés s’ha aturat de veritat.