چرا ثبت‌نام VPN از شما می‌خواهد به دفتر بیایید
بازدید روش سازمان برای اثبات هویت شماست، نه ویژگی پروتکل. پیش از بحث درباره سفر، ثبت‌نام، بازنشانی گذرواژه و بازیابی را از هم جدا کنید.
اینکه برای یک حساب VPN از شما بخواهند حضوری حاضر شوید شبیه یک محدودیت فنی به نظر می‌رسد، و اصلاً چنین نیست. پروتکل تونل هیچ نظری درباره اینکه کجا ایستاده‌اید ندارد. آنچه بازدید اجرا می‌کند تصمیمی درباره هویت است: کسی در سازمان باید مطمئن شود که شخصی که اعتبارنامه را دریافت می‌کند همان شخص در سابقه است. درک اینکه کدام تصمیم به این اطمینان نیاز دارد همان چیزی است که بحث درباره سفر را به مسئله‌ای قابل حل تبدیل می‌کند.
سه درخواست که شبیه هم به نظر می‌رسند
کارمند تازه‌وارد نیاز دارد هویتش احراز، صلاحیتش تأیید و دسترسی‌اش تصویب شود، و هیچ‌یک از اینها از یک درخواست گواهی یا نام نمایشی در یک ایمیل به دست نمی‌آید. کاربر موجودی که گذرواژه را تغییر می‌دهد به روشی تأییدشده برای احراز تغییر نیاز دارد، که خود پرسش دیگری است. کسی که همه احرازکننده‌های پذیرفته‌شده را از دست داده به بازیابی نیاز دارد، و این خطرناک‌ترینِ آن سه است، زیرا درخواست‌کننده ممکن است جاعلی باشد که می‌کوشد شواهدی را جایگزین کند که معمولاً جلوی او را می‌گرفت.
این موارد نباید به‌طور پیش‌فرض یک رویه غیررسمی مشترک داشته باشند. داشتن شماره کارمندی یا دسترسی به صندوق پستی تأییدنشده جایگزین بررسی‌ای نیست که سازمان انتخاب کرده است.
بازدید چه چیزی را اثبات می‌کند و چه چیزی را نه
اثبات هویت فرایندی با مراحل است، نه یک مکان. رهنمودهایی مانند رهنمود NIST برای اثبات هویت حل یک هویت، اعتبارسنجی شواهد پشت آن و تأیید اینکه متقاضی همان شخصی است که آن شواهد توصیف می‌کنند را از هم جدا می‌کنند. هر مرحله می‌تواند با حضور یا بدون حضور، از راه دور یا در محل انجام شود، و اطمینان به چگونگی اجرای همه آن‌ها بستگی دارد. صرف‌نظر کردن از یک مرحله تصمیمی درباره ریسک است، نه میان‌بری از میان کاغذبازی.
ایستادن در یک دفتر به‌خودی‌خود هیچ‌یک از آن مراحل را انجام نمی‌دهد. تماس ویدیویی هم به‌خودی‌خود هیچ‌یک از آن‌ها را انجام نمی‌دهد، به همین دلیل فرایند از راه دور به‌طور خودکار ضعیف‌تر نیست و فرایند حضوری به‌طور خودکار کامل نیست.
اطمینان را اپراتورهای آموزش‌دیده، مدیریت شواهد و کنترل‌های فنی حمل می‌کنند، و مکان فقط محدود می‌کند که چگونه می‌توان آن‌ها را به کار برد. میزی در یک دفتر با اپراتوری آموزش‌ندیده فرایند قوی‌ای نیست.
گزینه تأییدشده را بخواهید
اگر سفر واقعاً غیرعملی است، از مالک تعیین‌شده بپرسید آیا روش از راه دور یا بازیابی تأییدشده‌ای از قبل وجود دارد. با یک مدیر فردی بر سر استثنا چانه نزنید، زیرا این کار اعتبارنامه‌ای می‌سازد که هیچ‌کس نمی‌تواند حسابرسی کند و سابقه‌ای که هیچ‌کس با آن موافقت نکرده است. مسیر تأییدشده معمولاً مستند است، حتی وقتی اخیراً کسی آن را نخواسته است.
جایی که یک مرحله حضوری لازم است، دقیقاً بفهمید کدام مرحله را برآورده می‌کند. بازدیدی که شواهد را تأیید می‌کند الزامی متفاوت از بازدیدی است که شاهد یک امضا است، و این دو جایگزین‌های متفاوتی دارند.
Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user Myمراحل بعدی را صریح نگه دارید
تأیید پایان فرایند نیست. تصویب دسترسی، پیوند اعتبارنامه و تحویل هر یک به سابقه خود نیاز دارند، و دامنه دستگاه و منبع موردنظر باید نوشته شود نه اینکه فرض شود.
مسیر بازیابی مجاز را هم حفظ کنید، زیرا کاربری که نمی‌تواند بازیابی کند مسیری غیررسمی پیدا خواهد کرد. با هر اعتبارنامه افشاشده از طریق فرایند حذف واقعی آن برخورد کنید. بازدید تکمیل‌شده یا تغییر گذرواژه به‌خودی‌خود نشست‌های فعال دیگر را باطل نمی‌کند، و بیشتر رخدادها در همین شکاف ادامه می‌یابند.
پرسشی که باید به مالک بازگردانده شود بنابراین باریک است: کدام تصمیم به اطمینان حضوری نیاز دارد، و روش تأییدشده برای رسیدن به همان اطمینان وقتی سفر ناممکن است چیست. به این پرسش می‌توان پاسخ داد، و به شکایت درباره سفر نه.