Braucht ein iPad sein eigenes VPN-Clientzertifikat?

Ein neues iPad kommt ins Team, und der schnellste Weg ist, das vorhandene Clientzertifikat zu exportieren und auf dem Tablet zu installieren. Das funktioniert, bis jemand das Unternehmen verlässt, ein Gerät verliert oder ein Audit verlangt, das zeigt, welches Gerät wann verbunden war. Die Entscheidung betrifft nicht die Zertifikatsdatei, sondern die Identität: ob jedes Gerät für sich autorisiert und widerrufen werden kann. Kosten und Verwaltungsaufwand entscheiden die Antwort, und beides ist kleiner, als es aussieht.

Gemeinsamer Aussteller, getrennte Identitäten

Jedes Gerät kann derselben Zertifizierungsstelle vertrauen und sich mit demselben Gateway verbinden, während es eine andere Clientidentität besitzt. Der Aussteller ist ein Vertrauensanker, die Identität ein Schlüsselpaar, dessen Subjekt der Server einer Richtlinie zuordnet. Genau die Vermischung beider macht ein gemeinsames Zertifikat harmlos erscheinen. Harmlos bleibt es nur, bis jemand wissen muss, welches Gerät eine Sitzung eröffnet hat.

Den Aussteller zu teilen spart Konfigurationsarbeit und ändert nichts an der Rechenschaft pro Gerät. Die Identität zu teilen presst jedes Gerät in eine einzige widerrufbare Einheit: Eines zu widerrufen widerruft alle, und einen Ersatz zu autorisieren autorisiert jede jemals erstellte Kopie des Schlüssels. Dieser Tausch sollte ausdrücklich erfolgen statt durch Kopieren einer Datei, weil es an einem Freitagnachmittag schneller geht.

Wenn ein zweites Zertifikat zu teuer wird

Die Registrierung pro Gerät kostet einen Schritt: ein verwaltetes Profil, eine SCEP-Anfrage oder einen geführten Import mit Einmalpasswort. Sie kostet auch einen Ort zur Verfolgung von Seriennummern und Ablaufdaten, den Teil, den die meisten Installationen vergessen, bis das erste Zertifikat abläuft. Beide Kosten sind einmalig, und beide schrumpfen, sobald der Registrierungsablauf sie automatisiert.

Die Kosten sind real für einen Haushalt mit zwei Tablets und einem Nutzer, wo eine gemeinsame Identität eine vernünftige, in einem Satz dokumentierte Entscheidung ist. Vernünftig ist sie nicht für einen Dienst, bei dem der Zugang pro Person oder pro Gerät entzogen werden muss, denn die Widerrufsgeschichte ist der ganze Grund, Zertifikate statt eines Passworts zu verwenden. Beurteilen Sie die Installation danach, wie oft Geräte den Besitzer wechseln, nicht danach, wie viele Geräte es heute gibt.

Registrieren Sie das Gerät, kopieren Sie nicht den Schlüssel

Moderne Plattformen halten private Schlüssel in einem geschützten Speicher, und manche kennzeichnen sie konstruktionsbedingt als nicht exportierbar. Diese Eigenschaft macht das Kopieren von vornherein unmöglich, und sie ist auch der Grund, warum ein exportiertes Paket von einem Laptop nicht einfach auf einem Tablet wieder importiert werden kann, jedenfalls nicht auf einem unterstützten Weg. Der Versuch erzeugt trotzdem ein Profil, das sich sauber installiert und dann nie authentifiziert.

Nutzen Sie die Registrierungsmethode, die die Installation bereits unterstützt: ein verwaltetes Identitätsprofil, einen SCEP-Dienst oder einen kontobasierten Ablauf, der auf dem Gerät einen neuen Schlüssel ausstellt. Den privaten Schlüssel der Zertifizierungsstelle zu verteilen, um eine fehlende Identität zu lösen, ist ein anderer Fehler mit viel größerer Reichweite. Die Stelle stellt Anmeldedaten aus und sollte niemals zum Endpunkt reisen.

Prüfen Sie den Widerruf, bevor Sie antworten

Bevor Sie die gemeinsame Option wählen, beschreiben Sie, wie Widerruf am schlechtesten Tag aussieht. Wenn die Antwort eine Aktion ist, die mehrere Geräte betrifft, hat das Design bereits gegen Sie entschieden.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Prüfen Sie das Material, das Sie tatsächlich haben: ob ein privater Schlüssel vorhanden ist, was das Subjekt sagt und ob die Seriennummer einzeln widerrufen werden kann. Eine Zertifikatsdatei ohne ihren Schlüssel kann nichts authentifizieren, und deshalb scheitern manche kopierten Identitäten bei der ersten Verbindung.

Eine App vom Tablet zu löschen ist kein Widerruf, und der Server akzeptiert die Identität weiter, bis jemand sie deaktiviert. Schreiben Sie diesen Satz ins Runbook, bevor das erste Gerät registriert wird.