Necessita un iPad el seu propi certificat de client VPN?

Un iPad nou s’incorpora a l’equip, i el camí més ràpid és exportar el certificat de client existent i instal·lar-lo a la tauleta. Això funciona fins que algú marxa, perd un dispositiu o demana una auditoria que digui quin dispositiu es va connectar i quan. La decisió no és sobre el fitxer del certificat sinó sobre la identitat: si cada dispositiu es pot autoritzar i revocar pel seu compte. El cost i l’esforç de gestió decideixen la resposta, i tots dos són més petits del que semblen.

Emissor compartit, identitats separades

Cada dispositiu pot confiar en la mateixa autoritat de certificació i connectar-se a la mateixa passarel·la tot mantenint una identitat de client diferent. L’emissor és un ancoratge de confiança, mentre que la identitat és un parell de claus el subjecte del qual el servidor assigna a una política. Confondre les dues és el que fa que un certificat compartit sembli inofensiu. Només resta inofensiu fins que algú necessita saber quin dispositiu va obrir una sessió.

Compartir l’emissor estalvia feina de configuració i no canvia res en la responsabilitat per dispositiu. Compartir la identitat col·lapsa tots els dispositius en una sola unitat revocable: revocar-ne un revoca tots, i autoritzar un reemplaçament autoritza cada còpia de la clau que s’hagi fet mai. Aquest intercanvi val la pena fer-lo explícit en lloc de copiar un fitxer perquè és més ràpid un divendres a la tarda.

Quan un segon certificat costa massa

La inscripció per dispositiu costa un pas: una càrrega gestionada, una sol·licitud SCEP o una importació guiada amb una contrasenya d’un sol ús. També costa un lloc on fer el seguiment dels números de sèrie i les dates de caducitat, la part que la majoria de desplegaments obliden fins que el primer certificat venç. Tots dos costos són únics, i tots dos disminueixen quan el flux d’inscripció els automatitza.

El cost és real per a una llar amb dues tauletes i un sol usuari, on una identitat compartida és una decisió raonable documentada en una frase. No és raonable per a un servei on l’accés s’ha de retirar per persona o per dispositiu, perquè la història de la revocació és tota la raó per fer servir certificats en lloc d’una contrasenya. Jutgeu el desplegament per la freqüència amb què els dispositius canvien de mans, no per quants dispositius existeixen avui.

Inscriviu el dispositiu, no copieu la clau

Les plataformes modernes guarden les claus privades en un emmagatzematge protegit, i algunes les marquen com a no exportables per disseny. Aquesta propietat és el que fa impossible copiar-les d’entrada, i també és la raó per la qual un paquet exportat d’un portàtil no es pot tornar a importar senzillament en una tauleta de cap manera suportada. Intentar-ho igualment produeix un perfil que s’instal·la net i després no autentica mai.

Feu servir el mètode d’inscripció que el desplegament ja admet: una càrrega d’identitat gestionada, un servei SCEP o un flux basat en compte que emet una clau nova al dispositiu. Distribuir la clau privada de l’autoritat de certificació per resoldre una identitat que falta és un error diferent amb un radi d’impacte molt més gran. L’autoritat emet credencials i no hauria de viatjar mai al punt final.

Comproveu la revocació abans de respondre

Abans de triar l’opció compartida, descriviu com és la revocació el pitjor dia. Si la resposta és una acció que afecta diversos dispositius, el disseny ja ha decidit en contra vostre.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Examineu el material que realment teniu: si hi ha una clau privada, què diu el subjecte i si el número de sèrie es pot revocar individualment. Un fitxer de certificat sense la seva clau no pot autenticar res, i per això algunes identitats copiades fallen a la primera connexió.

Esborrar una aplicació de la tauleta no és revocació, i el servidor continua acceptant la identitat fins que algú la desactiva. Escriviu aquesta frase al runbook abans que s’inscrigui el primer dispositiu.