Kial VPN-aliĝo petas vin viziti la oficejon

Esti petata aperi persone por VPN-konto ŝajnas teknika limigo, kaj ĝi tute ne estas tia. La tunela protokolo havas neniun opinion pri tio, kie vi staras. Kion la vizito efektivigas, estas decido pri identeco: iu en la organizo devas esti konvinkita, ke la persono ricevanta la akreditaĵon estas la persono en la registro. Kompreni, kiu decido bezonas tiun certigon, estas tio, kio transformas disputon pri la vojaĝo en solveblan problemon.

Tri petoj, kiuj aspektas samaj

Nova dungito bezonas establititan identecon, konfirmitan rajtecon kaj aprobitan aliron, kaj neniu el tiuj sekvas el atestila peto aŭ el montrata nomo en retpoŝto. Ekzistanta uzanto ŝanĝanta pasvorton bezonas aprobitan manieron aŭtentikigi la ŝanĝon, kio estas denove alia demando. Iu, kiu perdis ĉiun akceptitan aŭtentikigilon, bezonas restaŭron, kaj tio estas la plej danĝera el la tri, ĉar la petanto povas esti trompanto provanta anstataŭigi la pruvojn, kiuj normale haltigus lin.

Tiuj kazoj ne devus defaŭlte dividi unu neformalan proceduron. Posedi dungitan numeron aŭ aliron al nekonfirmita retpoŝta kesto ne anstataŭas la kontrolon, kiun la organizo elektis.

Kion vizito pruvas kaj kion ne

Pruvi identecon estas procezo kun etapoj, ne loko. Gvidlinioj kiel la gvidlinioj de NIST pri identeca pruvado apartigas solvi identecon, validigi la pruvojn malantaŭ ĝi kaj konfirmi, ke la petanto estas la persono, kiun tiuj pruvoj priskribas. Ĉiu etapo povas esti kun aŭ sen ĉeesto, distance aŭ loke, kaj la certigo dependas de tio, kiel ĉiuj estas plenumataj. Preterlasi etapon estas decido pri risko, ne mallongigo tra paperaĵoj.

Stari en oficejo mem plenumas neniun el tiuj etapoj. Ankaŭ videovoko mem plenumas neniun el ili, kaj tial distanca procezo ne estas aŭtomate pli malforta kaj loka procezo ne estas aŭtomate kompleta.

Trejnitaj operatoroj, traktado de pruvoj kaj teknikaj kontroloj portas la certigon, kaj la loko nur limigas, kiel ili povas esti aplikataj. Skribotablo en oficejo kun netrejnita operatoro ne estas forta procezo.

Petu la aprobitan alternativon

Se vojaĝi estas vere nepraktika, demandu la nomumitan posedanton, ĉu jam ekzistas aprobita distanca aŭ restaŭra metodo. Ne intertraktu escepton kun individua administranto, ĉar tio produktas akreditaĵon, kiun neniu povas revizii, kaj precedencon, pri kiu neniu konsentis. La aprobita vojo estas kutime dokumentita, eĉ kiam neniu lastatempe petis ĝin.

Kie loka paŝo estas postulata, eksciu precize, kiun etapon ĝi kontentigas. Vizito, kiu validigas pruvojn, estas alia postulo ol tiu, kiu atestas subskribon, kaj la du havas malsamajn alternativojn.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Tenu la postajn etapojn eksplicitaj

Validigo ne estas la fino de la procezo. Aliraprobo, ligado de akreditaĵoj kaj liverado ĉiu bezonas sian propran registron, kaj la amplekso de la celata aparato kaj rimedo devus esti skribita, ne supozita.

Konservu ankaŭ la rajtigitan restaŭran vojon, ĉar uzanto, kiu ne povas restaŭri, trovos neformalan. Traktu ĉiun elmontritan akreditaĵon per ĝia reala forigprocezo. Kompletigita vizito aŭ pasvorta ŝanĝo mem ne revokas aliajn aktivajn sesiojn, kaj ĝuste en tiu breĉo daŭras la plej multaj incidentoj.

La demando portenda reen al la posedanto estas do mallarĝa: kiu decido bezonas personan certigon, kaj kio estas la aprobita maniero atingi la saman certigon, kiam vojaĝi estas neeble. Tiu demando povas esti respondita, kaj plendo pri la vojaĝo ne.