Kas iPad vajab omaette VPN-i kliendisertifikaati?

Uus iPad liitub meeskonnaga ja kiireim tee on eksportida olemasolev kliendisertifikaat ning paigaldada see tahvlisse. See toimib seni, kuni keegi lahkub, kaotab seadme või küsib auditit, mis näitab, milline seade ja millal ühendus. Otsus ei puuduta sertifikaadifaili, vaid identiteeti: kas iga seadet saab eraldi volitada ja tühistada. Kulu ja halduskoormus otsustavad vastuse ning mõlemad on väiksemad, kui tunduvad.

Ühine väljaandja, eraldi identiteedid

Iga seade võib usaldada sama sertifitseerimisasutust ja ühenduda sama lüüsiga, omades samal ajal erinevat kliendiidentiteeti. Väljaandja on usalduse ankur, identiteet aga võtmepaar, mille subjekti server vastendab poliitikale. Just nende kahe segamine muudab jagatud sertifikaadi kahjutuna tunduma. See püsib kahjutuna ainult seni, kuni kellelgi on vaja teada, milline seade sessiooni avas.

Väljaandja jagamine säästab seadistustööd ega muuda midagi seadmepõhises vastutuses. Identiteedi jagamine surub iga seadme ühte tühistatavasse üksusesse: ühe tühistamine tühistab kõik ning asendaja volitamine volitab iga kunagi tehtud võtmekoopia. See vahetus tasub teha selgesõnaliselt, mitte faili kopeerides, sest reedel pärastlõunal on nii kiirem.

Kui teine sertifikaat läheb liiga kalliks

Seadmepõhine registreerimine maksab ühe sammu: hallatav profiil, SCEP-i taotlus või juhendatud import ühekordse parooliga. See nõuab ka kohta seerianumbrite ja aegumiskuupäevade jälgimiseks, osa, mille enamik juurutusest unustab, kuni esimene sertifikaat aegub. Mõlemad kulud on ühekordsed ja mõlemad kahanevad, kui registreerimisvoog need automatiseerib.

Kulu on tõeline majapidamises, kus on kaks tahvlit ja üks kasutaja, kus jagatud identiteet on mõistlik otsus, mis on dokumenteeritud ühe lausega. See ei ole mõistlik teenuse puhul, kus juurdepääs tuleb tühistada inimese või seadme kaupa, sest tühistamise lugu on kogu põhjus kasutada sertifikaate parooli asemel. Hinnake juurutust selle järgi, kui tihti seadmed omanikku vahetavad, mitte selle järgi, kui palju seadmeid täna on.

Registreerige seade, ärge kopeerige võtit

Kaasaegsed platvormid hoiavad privaatvõtmeid kaitstud hoidlas ja mõned märgivad need disaini järgi mitteeksporditavaks. Just see omadus teeb kopeerimise esiteks võimatuks ja see on ka põhjus, miks sülearvutist eksporditud paketti ei saa tahvlisse lihtsalt tagasi importida ühelgi toetatud viisil. Katse teeb ikkagi profiili, mis paigaldub puhtalt ja seejärel ei autentib kunagi.

Kasutage registreerimismeetodit, mida juurutus juba toetab: hallatav identiteediprofiil, SCEP-teenus või kontopõhine voog, mis väljastab seadmes uue võtme. Sertifitseerimisasutuse privaatvõtme jagamine puuduva identiteedi lahendamiseks on teine viga, mille mõjuraadius on palju suurem. Asutus väljastab volitusi ja ei tohiks kunagi lõpp-punkti rännata.

Kontrollige tühistamist enne, kui vastate

Enne jagatud valiku tegemist kirjeldage, milline näeb tühistamine välja halvimal päeval. Kui vastuseks on üks tegevus, mis mõjutab mitut seadet, on disain juba teie vastu otsustanud.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Uurige materjali, mis teil tegelikult käes on: kas privaatvõti on olemas, mida subjekt ütleb ja kas seerianumbri saab eraldi tühistada. Sertifikaadifail ilma oma võtmeta ei suuda midagi autentida, ja seetõttu ebaõnnestuvad mõned kopeeritud identiteedid juba esimesel ühendusel.

Rakenduse kustutamine tahvlist ei ole tühistamine ja server jätkab identiteedi aktsepteerimist, kuni keegi selle keelab. Kirjutage see lause runbooki enne, kui esimene seade registreeritakse.