A oes angen ei thystysgrif cleient VPN ei hun ar iPad?

Mae iPad newydd yn ymuno â’r tîm, a’r ffordd gyflymaf yw allforio’r dystysgrif cleient bresennol a’i gosod ar y tabled. Mae hynny’n gweithio hyd nes i rywun adael, colli dyfais, neu ofyn am archwiliad sy’n dweud pa ddyfais a gysylltodd a phryd. Nid yw’r penderfyniad yn ymwneud â ffeil y dystysgrif ond â hunaniaeth: a ellir awdurdodi a dirymu pob dyfais ar wahân. Mae cost ac ymdrech rheoli yn penderfynu’r ateb, ac mae’r ddau’n llai nag y maent yn edrych.

Un dyroddwr, hunaniaethau ar wahân

Gall pob dyfais ymddiried yn yr un awdurdod tystysgrifau a chysylltu â’r un porth tra’n dal hunaniaeth cleient wahanol. Angor ymddiried yw’r dyroddwr, tra bod yr hunaniaeth yn bâr o allweddi y mae’r gweinydd yn mapio eu testun i bolisi. Cymysgu’r ddau yw’r hyn sy’n gwneud tystysgrif a rennir yn ymddangos yn ddiniwed. Nid yw’n aros yn ddiniwed nes bod rhywun angen gwybod pa ddyfais a agorodd sesiwn.

Mae rhannu’r dyroddwr yn arbed gwaith cyflunio ac yn newid dim ar atebolrwydd pob dyfais. Mae rhannu’r hunaniaeth yn cwympo pob dyfais i un uned y gellir ei dirymu: mae dirymu un yn dirymu’r cwbl, ac mae awdurdodi amnewidiad yn awdurdodi pob copi o’r allwedd a wnaethpwyd erioed. Mae’n werth gwneud y cyfnewid hwnnw’n amlwg yn hytrach na chopïo ffeil oherwydd ei bod yn gyflymach ar brynhawn Gwener.

Pan fo ail dystysgrif yn costio gormod

Mae cofrestru pob dyfais yn costio un cam: llwyth a reolir, cais SCEP, neu fewnforiad â chanllaw gyda chyfrinair untro. Mae hefyd yn costio man i olrhain rhifau cyfresol a dyddiadau dod i ben, y rhan y mae’r rhan fwyaf o ddefnyddiadau’n ei hanghofio nes bod y dystysgrif gyntaf yn dod i ben. Mae’r ddwy gost yn un tro, ac mae’r ddwy’n crebachu unwaith y bydd llif y cofrestriad yn eu hawtomeiddio.

Mae’r gost yn real i aelwyd â dau dabled ac un defnyddiwr, lle mae hunaniaeth a rennir yn benderfyniad rhesymol a nodir mewn un frawddeg. Nid yw’n rhesymol i wasanaeth lle rhaid tynnu mynediad fesul person neu fesul dyfais, oherwydd stori’r dirymu yw’r holl reswm dros ddefnyddio tystysgrifau yn lle cyfrinair. Barnwch y defnyddiad wrth ba mor aml y mae dyfeisiau’n newid dwylo, nid wrth faint o ddyfeisiau sydd heddiw.

Cofrestrwch y ddyfais, peidiwch â chopïo’r allwedd

Mae platfformau modern yn cadw allweddi preifat mewn storfa warchodedig, ac mae rhai’n eu marcio’n anallforadwy trwy ddyluniad. Y briodwedd honno sy’n gwneud copïo’n amhosibl yn y lle cyntaf, a dyna hefyd pam na ellir ailfewnforio pecyn a allforiwyd o liniadur ar dabled mewn unrhyw ffordd a gefnogir. Mae ceisio gwneud hynny beth bynnag yn cynhyrchu proffil sy’n gosod yn lân ac yna byth yn dilysu.

Defnyddiwch y dull cofrestru y mae’r defnyddiad yn ei gefnogi’n barod: llwyth hunaniaeth a reolir, gwasanaeth SCEP, neu lif seiliedig ar gyfrif sy’n cyhoeddi allwedd newydd ar y ddyfais. Mae dosbarthu allwedd breifat yr awdurdod tystysgrifau i ddatrys hunaniaeth sydd ar goll yn gamgymeriad gwahanol â chylch effaith llawer mwy. Mae’r awdurdod yn cyhoeddi tystlythyrau ac ni ddylai deithio i’r pen draw byth.

Gwiriwch y dirymu cyn i chi ateb

Cyn dewis yr opsiwn a rennir, disgrifiwch sut mae dirymu’n edrych ar y diwrnod gwaethaf. Os mai un weithred sy’n effeithio ar sawl dyfais yw’r ateb, mae’r dyluniad eisoes wedi penderfynu yn eich erbyn.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Archwiliwch y deunydd sydd gennych mewn gwirionedd: a oes allwedd breifat yn bresennol, beth mae’r testun yn ei ddweud, ac a ellir dirymu’r rhif cyfresol yn unigol. Ni all ffeil dystysgrif heb ei hallwedd ddilysu unrhyw beth, a dyna pam y mae rhai hunaniaethau a gopïwyd yn methu ar y cysylltiad cyntaf.

Nid yw dileu ap o’r tabled yn ddirymu, ac mae’r gweinydd yn parhau i dderbyn yr hunaniaeth nes bod rhywun yn ei hanalluogi. Ysgrifennwch y frawddeg honno yn y llyfr rhedeg cyn i’r ddyfais gyntaf gael ei chofrestru.