Per què la inscripció VPN us demana que visiteu l’oficina

Que us demanin presentar-vos en persona per a un compte VPN sembla una limitació tècnica, i no ho és de cap manera. El protocol del túnel no té cap opinió sobre on sou. El que implementa la visita és una decisió sobre la identitat: algú de l’organització ha de quedar convençut que la persona que rep la credencial és la persona que consta al registre. Entendre quina decisió necessita aquesta garantia és el que converteix una discussió sobre el viatge en un problema resoluble.

Tres sol·licituds que semblen iguals

Un nou empleat necessita que se li estableixi la identitat, se li confirmi l’elegibilitat i se li aprovi l’accés, i res d’això no es desprèn d’una sol·licitud de certificat ni d’un nom visible en un correu. Un usuari existent que canvia la contrasenya necessita una manera aprovada d’autenticar el canvi, que és encara una altra qüestió. Qui ha perdut tots els autenticadors acceptats necessita recuperació, i aquest és el més perillós dels tres, perquè qui ho demana pot ser un impostor que intenta substituir les proves que normalment l’aturarien.

Aquests casos no haurien de compartir per defecte un sol procediment informal. Tenir un número d’empleat o accés a una bústia no verificada no substitueix la comprovació que l’organització ha triat.

Què demostra una visita i què no

La prova d’identitat és un procés amb etapes, no un lloc. Directrius com les directrius de prova d’identitat del NIST separen la resolució d’una identitat, la validació de les proves que hi ha al darrere i la verificació que el sol·licitant és la persona que descriuen aquestes proves. Cada etapa pot ser amb assistència o sense, remota o presencial, i la garantia depèn de com s’executen totes. Saltar-se una etapa és una decisió sobre el risc, no una drecera administrativa.

Estar dempeus en una oficina no executa cap d’aquestes etapes per si sol. Una videotrucada tampoc no n’executa cap per si sola, i per això un procés remot no és automàticament més feble ni un de presencial és automàticament complet.

La garantia la porten operadors formats, la gestió de les proves i els controls tècnics, i la ubicació només limita com es poden aplicar. Un escriptori en una oficina amb un operador no format no és un procés sòlid.

Demaneu l’alternativa aprovada

Si el viatge és realment poc pràctic, pregunteu al propietari designat si ja existeix un mètode remot o de recuperació aprovat. No negocieu una excepció amb un administrador individual, perquè això produeix una credencial que ningú no pot auditar i un precedent que ningú no ha acceptat. El camí aprovat normalment està documentat, fins i tot quan ningú no l’ha demanat recentment.

On cal una etapa presencial, esbrineu exactament quina etapa satisfà. Una visita que verifica proves és un requisit diferent d’una que presencia una signatura, i les dues tenen alternatives diferents.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Manteniu explícites les etapes posteriors

La verificació no és el final del procés. L’aprovació de l’accés, la vinculació de credencials i el lliurament necessiten cadascun el seu propi registre, i l’abast del dispositiu i del recurs previstos s’ha d’escriure, no pressuposar.

Preserveu també la ruta de recuperació autoritzada, perquè un usuari que no pot recuperar-se’n trobarà una d’informal. Tracteu qualsevol credencial exposada mitjançant el seu procés real de retirada. Una visita completada o un canvi de contrasenya no revoca per si sol altres sessions actives, i és en aquest buit on continuen la majoria d’incidents.

La pregunta que cal portar al propietari és, doncs, estreta: quina decisió necessita garantia en persona i quin és el camí aprovat per assolir la mateixa garantia quan el viatge és impossible. A aquesta pregunta es pot respondre, i a una queixa sobre el viatge, no.