Hvorfor VPN-tilmelding beder dig møde op på kontoret

At blive bedt om at møde personligt op til en VPN-konto føles som en teknisk begrænsning, og det er slet ikke tilfældet. Tunnelprotokollen har ingen holdning til, hvor du står. Det, besøget implementerer, er en beslutning om identitet: nogen i organisationen skal være overbevist om, at den person, der modtager legitimationsoplysningerne, er personen i registret. Forståelsen af, hvilken beslutning der kræver den forsikring, er det, der gør en diskussion om rejsen til et løseligt problem.

Tre anmodninger, der ligner hinanden

En ny medarbejder skal have fastslået sin identitet, bekræftet sin berettigelse og godkendt sin adgang, og intet af det følger af en certifikatanmodning eller et vist navn i en e-mail. En eksisterende bruger, der skifter adgangskode, har brug for en godkendt måde at bekræfte ændringen på, hvilket er et helt andet spørgsmål. Nogen, der har mistet alle accepterede godkendelsesfaktorer, har brug for gendannelse, og det er den farligste af de tre, fordi den, der spørger, kan være en bedrager, der forsøger at erstatte de beviser, der normalt ville stoppe dem.

Disse sager bør ikke som standard dele én uformel procedure. Besiddelsen af et medarbejdernummer eller adgang til en ubekræftet postkasse er ikke en erstatning for den kontrol, organisationen har valgt.

Hvad et besøg beviser, og hvad det ikke beviser

Identitetsbevis er en proces med faser snarere end et sted. Vejledninger som NIST’s vejledning om identitetsbevis adskiller fastlæggelse af en identitet, validering af beviserne bag den og verifikation af, at ansøgeren er den person, som beviserne beskriver. Hver fase kan være med eller uden fremmøde, eksternt eller på stedet, og forsikringen afhænger af, hvordan de alle udføres. At springe en fase over er en beslutning om risiko, ikke en genvej gennem papirarbejde.

At stå på et kontor udfører ikke nogen af disse faser i sig selv. Et videoopkald udfører heller ikke nogen af dem i sig selv, og derfor er en ekstern proces ikke automatisk svagere, og en proces på stedet er ikke automatisk komplet.

Uddannede operatører, håndtering af beviser og tekniske kontroller bærer forsikringen, og placeringen begrænser kun, hvordan de kan anvendes. Et skrivebord på et kontor med en uuddannet operatør er ikke en stærk proces.

Bed om det godkendte alternativ

Hvis rejsen er virkelig upraktisk, så find ud af hos den udpegede ejer, om der allerede findes en godkendt fjernmetode eller gendannelsesmetode. Forhandl ikke om en undtagelse med en individuel administrator, fordi det giver legitimationsoplysninger, som ingen kan revidere, og en præcedens, som ingen har accepteret. Den godkendte vej er normalt dokumenteret, selv når ingen for nylig har bedt om den.

Hvor der kræves et trin på stedet, skal du finde ud af præcis, hvilken fase det opfylder. Et besøg, der verificerer beviser, er et andet krav end et, der bevidner en underskrift, og de to har forskellige alternativer.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Hold de senere faser eksplicitte

Verifikation er ikke slutningen på processen. Adgangsgodkendelse, binding af legitimationsoplysninger og levering har hver brug for deres egen registrering, og omfanget af den tilsigtede enhed og ressource bør skrives ned i stedet for at blive antaget.

Bevar også den autoriserede gendannelsesrute, fordi en bruger, der ikke kan gendanne, vil finde en uformel. Håndter enhver eksponeret legitimationsoplysning gennem dens faktiske fjernelsesproces. Et afsluttet besøg eller et adgangskodeskift tilbagekalder ikke andre aktive sessioner i sig selv, og det er i det hul, de fleste hændelser fortsætter.

Spørgsmålet, der skal bringes tilbage til ejeren, er derfor snævert: hvilken beslutning kræver personlig forsikring, og hvad er den godkendte måde at opnå samme forsikring på, når rejsen er umulig. Det spørgsmål kan besvares, og en klage over rejsen kan ikke.