Warum die VPN-Registrierung Sie bittet, ins Büro zu kommen

Die Bitte, für ein VPN-Konto persönlich zu erscheinen, wirkt wie eine technische Einschränkung, und das ist sie keineswegs. Das Tunnelprotokoll hat keine Meinung dazu, wo Sie stehen. Der Besuch setzt eine Entscheidung über die Identität um: Jemand in der Organisation muss überzeugt sein, dass die Person, die die Anmeldedaten erhält, die Person im Verzeichnis ist. Zu verstehen, welche Entscheidung diese Gewissheit braucht, macht aus einem Streit über die Reise ein lösbares Problem.

Drei Anfragen, die gleich aussehen

Ein neuer Mitarbeiter braucht eine festgestellte Identität, eine bestätigte Berechtigung und eine genehmigte Zugangsgewährung, und nichts davon folgt aus einem Zertifikatsantrag oder einem angezeigten Namen in einer E-Mail. Ein bestehender Benutzer, der ein Passwort ändert, braucht einen genehmigten Weg, die Änderung zu authentifizieren, was wieder eine andere Frage ist. Wer alle akzeptierten Authentifikatoren verloren hat, braucht Wiederherstellung, und das ist der gefährlichste der drei Fälle, weil die fragende Person ein Betrüger sein kann, der die Nachweise ersetzen will, die sie normalerweise aufhalten würden.

Diese Fälle sollten standardmäßig nicht ein informelles Verfahren teilen. Der Besitz einer Personalnummer oder Zugang zu einem unbestätigten Postfach ersetzt nicht die Prüfung, für die sich die Organisation entschieden hat.

Was ein Besuch beweist und was nicht

Identitätsprüfung ist ein Prozess mit Stufen, kein Ort. Leitlinien wie die Identitätsprüfungs-Leitlinien des NIST trennen das Auflösen einer Identität, das Validieren der dahinterstehenden Nachweise und das Überprüfen, dass die antragstellende Person die Person ist, die diese Nachweise beschreiben. Jede Stufe kann mit oder ohne Begleitung, aus der Ferne oder vor Ort erfolgen, und die Gewissheit hängt davon ab, wie alle durchgeführt werden. Eine Stufe zu überspringen ist eine Entscheidung über Risiko, kein Abkürzungsweg durch Papierkram.

In einem Büro zu stehen führt für sich genommen keine dieser Stufen durch. Ein Videoanruf führt für sich genommen auch keine davon durch, weshalb ein Fernprozess nicht automatisch schwächer und ein Vor-Ort-Prozess nicht automatisch vollständig ist.

Geschulte Mitarbeiter, der Umgang mit Nachweisen und technische Kontrollen tragen die Gewissheit, und der Ort begrenzt nur, wie sie angewendet werden können. Ein Schreibtisch in einem Büro mit ungeschultem Personal ist kein starker Prozess.

Fragen Sie nach der genehmigten Alternative

Wenn die Reise wirklich unpraktisch ist, klären Sie beim benannten Verantwortlichen, ob es bereits eine genehmigte Fern- oder Wiederherstellungsmethode gibt. Verhandeln Sie keine Ausnahme mit einem einzelnen Administrator, denn das erzeugt Anmeldedaten, die niemand prüfen kann, und einen Präzedenzfall, dem niemand zugestimmt hat. Der genehmigte Weg ist normalerweise dokumentiert, auch wenn ihn in letzter Zeit niemand angefragt hat.

Wo ein Schritt vor Ort erforderlich ist, klären Sie genau, welche Stufe er erfüllt. Ein Besuch, der Nachweise prüft, ist eine andere Anforderung als einer, der eine Unterschrift bezeugt, und beide haben unterschiedliche Alternativen.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Halten Sie die späteren Stufen ausdrücklich

Die Überprüfung ist nicht das Ende des Prozesses. Zugangsgenehmigung, Bindung der Anmeldedaten und Auslieferung brauchen jeweils ihren eigenen Nachweis, und der Umfang des vorgesehenen Geräts und der Ressource sollte schriftlich festgehalten statt angenommen werden.

Bewahren Sie auch den autorisierten Wiederherstellungsweg, denn wer sich nicht wiederherstellen kann, findet einen informellen. Behandeln Sie offengelegte Anmeldedaten über ihren tatsächlichen Entfernungsprozess. Ein abgeschlossener Besuch oder eine Passwortänderung widerruft nicht von selbst andere aktive Sitzungen, und genau in dieser Lücke setzen sich die meisten Vorfälle fort.

Die Frage, die Sie zum Verantwortlichen zurückbringen, ist daher eng: Welche Entscheidung braucht persönliche Gewissheit, und was ist der genehmigte Weg zu derselben Gewissheit, wenn die Reise unmöglich ist. Diese Frage lässt sich beantworten, eine Beschwerde über die Reise nicht.