¿Necesita un iPad su propio certificado de cliente VPN?

Un iPad nuevo se suma al equipo, y el camino más rápido es exportar el certificado de cliente existente e instalarlo en la tableta. Eso funciona hasta que alguien se marcha, pierde un dispositivo o pide una auditoría que diga qué dispositivo se conectó y cuándo. La decisión no trata del archivo del certificado sino de la identidad: si cada dispositivo puede autorizarse y revocarse por separado. El coste y el esfuerzo de gestión deciden la respuesta, y ambos son menores de lo que parecen.

Emisor compartido, identidades separadas

Cada dispositivo puede confiar en la misma autoridad de certificación y conectarse a la misma puerta de enlace mientras posee una identidad de cliente distinta. El emisor es un ancla de confianza, mientras que la identidad es un par de claves cuyo sujeto el servidor asigna a una política. Confundir ambas es lo que hace que un certificado compartido parezca inofensivo. Solo sigue siendo inofensivo hasta que alguien necesita saber qué dispositivo abrió una sesión.

Compartir el emisor ahorra trabajo de configuración y no cambia nada en la responsabilidad por dispositivo. Compartir la identidad colapsa cada dispositivo en una sola unidad revocable: revocar uno revoca todos, y autorizar un reemplazo autoriza cada copia de la clave que se haya hecho. Ese intercambio merece hacerse explícito en lugar de copiar un archivo porque es más rápido un viernes por la tarde.

Cuando un segundo certificado cuesta demasiado

El registro por dispositivo cuesta un paso: una carga gestionada, una solicitud SCEP o una importación guiada con una contraseña de un solo uso. También cuesta un lugar donde seguir los números de serie y las fechas de caducidad, la parte que la mayoría de los despliegues olvidan hasta que caduca el primer certificado. Ambos costes son únicos, y ambos se reducen en cuanto el flujo de registro los automatiza.

El coste es real para un hogar con dos tabletas y un solo usuario, donde una identidad compartida es una decisión razonable documentada en una frase. No es razonable para un servicio donde el acceso debe retirarse por persona o por dispositivo, porque la historia de la revocación es toda la razón para usar certificados en lugar de una contraseña. Juzgue el despliegue por la frecuencia con que los dispositivos cambian de manos, no por cuántos dispositivos existen hoy.

Inscriba el dispositivo, no copie la clave

Las plataformas modernas guardan las claves privadas en un almacén protegido, y algunas las marcan como no exportables por diseño. Esa propiedad es lo que hace imposible copiarlas de entrada, y también es la razón por la que un paquete exportado de un portátil no puede reimportarse sin más en una tableta de ninguna forma admitida. Intentarlo de todos modos produce un perfil que se instala limpiamente y luego nunca autentica.

Use el método de registro que el despliegue ya admite: una carga de identidad gestionada, un servicio SCEP o un flujo basado en cuenta que emita una clave nueva en el dispositivo. Distribuir la clave privada de la autoridad de certificación para resolver una identidad ausente es otro error con un radio de impacto mucho mayor. La autoridad emite credenciales y nunca debería viajar al punto final.

Compruebe la revocación antes de responder

Antes de elegir la opción compartida, describa cómo es la revocación el peor día. Si la respuesta es una acción que afecta a varios dispositivos, el diseño ya ha decidido en su contra.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Examine el material que realmente tiene: si hay una clave privada, qué dice el sujeto y si el número de serie puede revocarse individualmente. Un archivo de certificado sin su clave no puede autenticar nada, y por eso algunas identidades copiadas fallan en la primera conexión.

Borrar una aplicación de la tableta no es revocación, y el servidor sigue aceptando la identidad hasta que alguien la desactive. Escriba esa frase en el runbook antes de inscribir el primer dispositivo.