Χρειάζεται το iPad το δικό του πιστοποιητικό πελάτη VPN;

Ένα νέο iPad μπαίνει στην ομάδα, και ο γρηγορότερος δρόμος είναι να εξαγάγετε το υπάρχον πιστοποιητικό πελάτη και να το εγκαταστήσετε στο tablet. Αυτό λειτουργεί μέχρι κάποιος να φύγει, να χάσει μια συσκευή ή να ζητήσει έλεγχο που δείχνει ποια συσκευή συνδέθηκε και πότε. Η απόφαση δεν αφορά το αρχείο πιστοποιητικού αλλά την ταυτότητα: αν κάθε συσκευή μπορεί να εξουσιοδοτηθεί και να ανακληθεί μόνη της. Το κόστος και η διαχειριστική προσπάθεια καθορίζουν την απάντηση, και τα δύο είναι μικρότερα απ’ όσο φαίνονται.

Κοινός εκδότης, ξεχωριστές ταυτότητες

Κάθε συσκευή μπορεί να εμπιστεύεται την ίδια αρχή πιστοποιητικών και να συνδέεται στην ίδια πύλη κρατώντας διαφορετική ταυτότητα πελάτη. Ο εκδότης είναι άγκυρα εμπιστοσύνης, ενώ η ταυτότητα είναι ένα ζεύγος κλειδιών του οποίου το υποκείμενο ο διακομιστής αντιστοιχίζει σε πολιτική. Η σύγχυση των δύο είναι αυτό που κάνει ένα κοινόχρηστο πιστοποιητικό να φαίνεται ακίνδυνο. Παραμένει ακίνδυνο μόνο μέχρι κάποιος να χρειαστεί να ξέρει ποια συσκευή άνοιξε μια συνεδρία.

Ο διαμοιρασμός του εκδότη εξοικονομεί εργασία διαμόρφωσης και δεν αλλάζει τίποτα στη λογοδοσία ανά συσκευή. Ο διαμοιρασμός της ταυτότητας συμπτύσσει κάθε συσκευή σε μία ανακλήσιμη μονάδα: η ανάκληση ενός ανακαλεί όλα, και η εξουσιοδότηση αντικαταστάτη εξουσιοδοτεί κάθε αντίγραφο του κλειδιού που δημιουργήθηκε ποτέ. Αυτή η ανταλλαγή αξίζει να γίνει ρητά αντί να αντιγραφεί ένα αρχείο επειδή είναι γρηγορότερο ένα απόγευμα Παρασκευής.

Όταν ένα δεύτερο πιστοποιητικό κοστίζει πολύ

Η εγγραφή ανά συσκευή κοστίζει ένα βήμα: ένα διαχειριζόμενο προφίλ, ένα αίτημα SCEP ή μια καθοδηγούμενη εισαγωγή με κωδικό μίας χρήσης. Κοστίζει επίσης έναν τόπο για την παρακολούθηση σειριακών αριθμών και ημερομηνιών λήξης, το κομμάτι που οι περισσότερες εγκαταστάσεις ξεχνούν μέχρι να λήξει το πρώτο πιστοποιητικό. Και τα δύο κόστη είναι εφάπαξ, και τα δύο συρρικνώνονται μόλις η ροή εγγραφής τα αυτοματοποιήσει.

Το κόστος είναι πραγματικό για ένα νοικοκυριό με δύο tablet και έναν χρήστη, όπου μια κοινή ταυτότητα είναι λογική απόφαση τεκμηριωμένη σε μία πρόταση. Δεν είναι λογική για μια υπηρεσία όπου η πρόσβαση πρέπει να αφαιρείται ανά άτομο ή ανά συσκευή, γιατί η ιστορία ανάκλησης είναι ολόκληρος ο λόγος χρήσης πιστοποιητικών αντί για κωδικό πρόσβασης. Κρίνετε την εγκατάσταση από το πόσο συχνά αλλάζουν χέρια οι συσκευές, όχι από το πόσες συσκευές υπάρχουν σήμερα.

Καταχωρίστε τη συσκευή, μην αντιγράφετε το κλειδί

Οι σύγχρονες πλατφόρμες κρατούν τα ιδιωτικά κλειδιά σε προστατευμένη αποθήκη, και μερικές τα χαρακτηρίζουν εξ ορισμού μη εξαγώγιμα. Αυτή η ιδιότητα κάνει την αντιγραφή αδύνατη εξαρχής, και είναι επίσης ο λόγος που ένα εξαγόμενο πακέτο από φορητό υπολογιστή δεν μπορεί απλώς να εισαχθεί ξανά σε tablet με κανέναν υποστηριζόμενο τρόπο. Η απόπειρα παρά ταύτα παράγει προφίλ που εγκαθίσταται καθαρά και έπειτα δεν επαληθεύει ποτέ ταυτότητα.

Χρησιμοποιήστε τη μέθοδο εγγραφής που υποστηρίζει ήδη η εγκατάσταση: ένα διαχειριζόμενο προφίλ ταυτότητας, μια υπηρεσία SCEP ή μια ροή βασισμένη σε λογαριασμό που εκδίδει νέο κλειδί στη συσκευή. Η διανομή του ιδιωτικού κλειδιού της αρχής πιστοποιητικών για την επίλυση μιας χαμένης ταυτότητας είναι άλλο λάθος με πολύ μεγαλύτερη ακτίνα επιρροής. Η αρχή εκδίδει διαπιστευτήρια και δεν πρέπει ποτέ να ταξιδεύει στο τελικό σημείο.

Ελέγξτε την ανάκληση πριν απαντήσετε

Πριν επιλέξετε την κοινόχρηστη επιλογή, περιγράψτε πώς μοιάζει η ανάκληση τη χειρότερη ημέρα. Αν η απάντηση είναι μία ενέργεια που επηρεάζει πολλές συσκευές, ο σχεδιασμός έχει ήδη αποφασίσει εναντίον σας.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Εξετάστε το υλικό που έχετε πραγματικά: αν υπάρχει ιδιωτικό κλειδί, τι λέει το υποκείμενο και αν ο σειριακός αριθμός μπορεί να ανακληθεί μεμονωμένα. Ένα αρχείο πιστοποιητικού χωρίς το κλειδί του δεν μπορεί να επαληθεύσει τίποτα, και γι’ αυτό μερικές αντιγραμμένες ταυτότητες αποτυγχάνουν στην πρώτη σύνδεση.

Η διαγραφή μιας εφαρμογής από το tablet δεν είναι ανάκληση, και ο διακομιστής συνεχίζει να δέχεται την ταυτότητα μέχρι κάποιος να την απενεργοποιήσει. Γράψτε αυτή την πρόταση στο εγχειρίδιο πριν εγγραφεί η πρώτη συσκευή.