Potřebuje iPad vlastní klientský certifikát VPN?

Nový iPad se připojí k týmu a nejrychlejší cesta je exportovat stávající klientský certifikát a nainstalovat ho do tabletu. Funguje to, dokud někdo neodejde, neztratí zařízení nebo nepožádá o audit, který řekne, které zařízení se kdy připojilo. Rozhodnutí není o souboru certifikátu, ale o identitě: zda lze každé zařízení autorizovat a odvolat samostatně. Cenu a náročnost správy rozhodují odpověď, a obojí je menší, než se zdá.

Společný vydavatel, oddělené identity

Každé zařízení může důvěřovat stejné certifikační autoritě a připojovat se ke stejné bráně, přitom však mít jinou klientskou identitu. Vydavatel je kotva důvěry, zatímco identita je pár klíčů, jehož subjekt server mapuje na zásadu. Právě záměna těchto dvou věcí dělá sdílený certifikát zdánlivě neškodným. Neškodný zůstává jen do chvíle, kdy někdo potřebuje vědět, které zařízení otevřelo relaci.

Sdílení vydavatele šetří konfigurační práci a na odpovědnosti za jednotlivá zařízení nic nemění. Sdílení identity slévá každé zařízení do jedné odvolatelné jednotky: odvolání jednoho odvolá všechna a autorizace náhrady autorizuje každou kdy vytvořenou kopii klíče. Tuto výměnu je lepší udělat výslovně než zkopírováním souboru proto, že je to v pátek odpoledne rychlejší.

Když druhý certifikát stojí příliš

Registrace pro každé zařízení stojí jeden krok: spravovaný profil, žádost SCEP nebo vedený import s jednorázovým heslem. Stojí také místo pro sledování sériových čísel a dat vypršení, což je část, na kterou většina nasazení zapomene, dokud první certifikát nevyprší. Obě náklady jsou jednorázové a obě klesnou, jakmile je registrační tok zautomatizuje.

Náklad je skutečný pro domácnost se dvěma tablety a jedním uživatelem, kde je sdílená identita rozumné rozhodnutí doložené jednou větou. Rozumné není pro službu, kde se přístup musí odebrat po osobě nebo po zařízení, protože příběh odvolání je celý důvod používat certifikáty místo hesla. Posuzujte nasazení podle toho, jak často zařízení mění majitele, ne podle toho, kolik zařízení dnes existuje.

Zaregistrujte zařízení, nekopírujte klíč

Moderní platformy drží soukromé klíče v chráněném úložišti a některé je záměrně označují jako neexportovatelné. Právě tato vlastnost dělá kopírování od počátku nemožným a je také důvodem, proč exportovaný balík z notebooku nelze jednoduše znovu importovat do tabletu žádným podporovaným způsobem. Pokus i tak vytvoří profil, který se čistě nainstaluje a potom už nikdy neautentizuje.

Použijte metodu registrace, kterou nasazení už podporuje: spravovaný profil identity, službu SCEP nebo tok založený na účtu, který na zařízení vydá nový klíč. Rozdávat soukromý klíč certifikační autority kvůli chybějící identitě je jiná chyba s mnohem větším dopadem. Autorita vydává přihlašovací údaje a nikdy by neměla putovat ke koncovému bodu.

Než odpovíte, zkontrolujte odvolání

Než zvolíte sdílenou možnost, popište, jak odvolání vypadá v nejhorší den. Pokud je odpovědí jedna akce postihující několik zařízení, návrh už rozhodl proti vám.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Prohlédněte si materiál, který skutečně držíte: zda je přítomen soukromý klíč, co říká subjekt a zda lze sériové číslo odvolat jednotlivě. Soubor certifikátu bez svého klíče nemůže nic autentizovat, a proto některé zkopírované identity selžou při prvním připojení.

Smazání aplikace z tabletu není odvolání a server dál přijímá identitu, dokud ji někdo nevypne. Napište tuto větu do runbooku, než se zaregistruje první zařízení.