Proč se při registraci VPN požaduje osobní návštěva kanceláře

Když vás u VPN účtu požádají, abyste se dostavili osobně, vypadá to jako technické omezení, ale nic takového to není. Tunelový protokol nemá žádný názor na to, kde stojíte. Návštěva naplňuje rozhodnutí o identitě: někdo v organizaci se musí ujistit, že osoba, která přebírá přihlašovací údaje, je osobou v záznamu. Pochopení toho, které rozhodnutí tuto jistotu potřebuje, mění hádku o cestě v řešitelný problém.

Tři žádosti, které vypadají stejně

Nastupující zaměstnanec potřebuje prokázat svou totožnost, potvrdit oprávnění a schválit přístup a nic z toho nevyplývá ze žádosti o certifikát ani ze zobrazovaného jména v e-mailu. Stávající uživatel, který mění heslo, potřebuje schválený způsob ověření změny, což je zase jiná otázka. Kdo ztratil všechny uznávané autentizátory, potřebuje obnovu, a to je nejnebezpečnější z těch tří, protože ten, kdo žádá, může být podvodník, který se snaží nahradit důkazy, jež by ho obvykle zastavily.

Tyto případy by ve výchozím nastavení neměly sdílet jeden neformální postup. Vlastnictví čísla zaměstnance nebo přístup k neověřené schránce nenahrazuje kontrolu, kterou organizace zvolila.

Co návštěva prokazuje a co ne

Prokazování totožnosti je proces s fázemi, nikoli místo. Pokyny, jako jsou pokyny NIST k prokazování totožnosti, oddělují zjištění totožnosti, ověření důkazů, které za ní stojí, a potvrzení, že žadatel je osoba, kterou tyto důkazy popisují. Každá fáze může být s účastí nebo bez ní, na dálku nebo na místě, a jistota závisí na tom, jak se všechny provedou. Vynechání fáze je rozhodnutí o riziku, ne zkratka přes papírování.

Stání v kanceláři samo o sobě neprovede žádnou z těchto fází. Videohovor také sám o sobě neprovede žádnou z nich, a proto není vzdálený proces automaticky slabší a proces na místě není automaticky úplný.

Jistotu nesou školení operátoři, nakládání s důkazy a technické kontroly a umístění jen omezuje, jak je lze uplatnit. Stůl v kanceláři s neškoleným operátorem není silný proces.

Požádejte o schválenou alternativu

Pokud je cesta skutečně nepraktická, zjistěte u určeného vlastníka, zda už existuje schválený vzdálený způsob nebo způsob obnovy. Nevyjednávejte výjimku s jednotlivým správcem, protože tím vznikají přihlašovací údaje, které nikdo nemůže auditovat, a precedens, na kterém se nikdo nedohodl. Schválená cesta je obvykle zdokumentovaná, i když o ni nedávno nikdo nežádal.

Kde je vyžadován krok na místě, zjistěte přesně, kterou fázi splňuje. Návštěva, která ověřuje důkazy, je jiný požadavek než ta, která je svědkem podpisu, a obě mají jiné alternativy.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Udržujte pozdější fáze výslovné

Ověření není konec procesu. Schválení přístupu, navázání přihlašovacích údajů a doručení každé potřebují vlastní záznam a rozsah zamýšleného zařízení a zdroje by měl být zapsán, ne předpokládán.

Zachovejte také schválenou cestu obnovy, protože uživatel, který se nemůže obnovit, si najde neformální. S každým odhaleným přihlašovacím údajem nakládejte prostřednictvím jeho skutečného procesu odstranění. Dokončená návštěva nebo změna hesla sama o sobě neodvolá jiné aktivní relace a právě v této mezeře většina incidentů pokračuje.

Otázka, kterou je třeba přinést vlastníkovi, je proto úzká: které rozhodnutí potřebuje osobní jistotu a jaký je schválený způsob, jak dosáhnout stejné jistoty, když je cesta nemožná. Na tuto otázku lze odpovědět, na stížnost na cestu ne.