Miksi VPN-rekisteröinti pyytää sinua käymään toimistolla

Pyyntö saapua henkilökohtaisesti VPN-tilin vuoksi tuntuu tekniseltä rajoitukselta, eikä se ole sitä lainkaan. Tunneliprotokollalla ei ole mielipidettä siitä, missä seisot. Käynti toteuttaa päätöksen identiteetistä: jonkun organisaatiossa on oltava vakuuttunut siitä, että tunnistetiedot vastaanottava henkilö on se henkilö, joka on rekisterissä. Ymmärrys siitä, mikä päätös tarvitsee tämän varmuuden, muuttaa matkasta käytävän väittelyn ratkaistavaksi ongelmaksi.

Kolme pyyntöä, jotka näyttävät samalta

Uusi työntekijä tarvitsee identiteettinsä vahvistamisen, kelpoisuutensa vahvistamisen ja käyttöoikeutensa hyväksymisen, eikä mikään näistä seuraa varmenteen pyynnöstä tai sähköpostissa näkyvästä nimestä. Nykyinen käyttäjä, joka vaihtaa salasanaa, tarvitsee hyväksytyn tavan todentaa muutos, mikä on jälleen eri kysymys. Se, joka on menettänyt kaikki hyväksytyt todennusmenetelmät, tarvitsee palautumisen, ja se on kolmesta vaarallisin, koska pyytäjä voi olla huijari, joka yrittää korvata todisteet, jotka normaalisti pysäyttäisivät hänet.

Näiden tapausten ei pitäisi oletusarvoisesti jakaa yhtä epävirallista menettelyä. Työntekijänumeron hallussapito tai pääsy vahvistamattomaan postilaatikkoon ei korvaa tarkistusta, jonka organisaatio on valinnut.

Mitä käynti todistaa ja mitä ei

Identiteetin todistaminen on prosessi, jossa on vaiheita, ei paikka. Ohjeet kuten NISTin identiteetin todistamisen ohjeet erottavat identiteetin selvittämisen, sen taustalla olevien todisteiden validoinnin ja sen vahvistamisen, että hakija on se henkilö, jota todisteet kuvaavat. Jokainen vaihe voi olla läsnä tai ilman, etänä tai paikan päällä, ja varmuus riippuu siitä, miten ne kaikki suoritetaan. Vaiheen väliin jättäminen on päätös riskistä, ei oikotie paperityön läpi.

Toimistossa seisominen ei itsessään suorita yhtään näistä vaiheista. Videopuhelu ei myöskään itsessään suorita yhtään niistä, minkä vuoksi etäprosessi ei ole automaattisesti heikompi eikä paikan päällä tehtävä prosessi ole automaattisesti täydellinen.

Varmuutta kantavat koulutetut operaattorit, todisteiden käsittely ja tekniset valvontatoimet, ja sijainti vain rajoittaa sitä, miten niitä voidaan soveltaa. Toimiston työpöytä kouluttamattoman operaattorin kanssa ei ole vahva prosessi.

Pyydä hyväksytty vaihtoehto

Jos matkustaminen on todella epäkäytännöllistä, selvitä nimetyltä omistajalta, onko hyväksytty etä- tai palautumismenetelmä jo olemassa. Älä neuvottele poikkeuksesta yksittäisen ylläpitäjän kanssa, koska se tuottaa tunnistetiedot, joita kukaan ei voi auditoida, ja ennakkotapauksen, johon kukaan ei suostunut. Hyväksytty polku on yleensä dokumentoitu, vaikka kukaan ei olisi pyytänyt sitä äskettäin.

Kun paikan päällä tehtävä vaihe vaaditaan, selvitä tarkalleen, minkä vaiheen se täyttää. Todisteita vahvistava käynti on eri vaatimus kuin se, joka todistaa allekirjoituksen, ja näillä kahdella on erilaiset vaihtoehdot.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Pidä myöhemmät vaiheet selkeinä

Vahvistaminen ei ole prosessin loppu. Käyttöoikeuden hyväksyntä, tunnistetietojen sitominen ja toimitus tarvitsevat kukin oman kirjauksensa, ja aiotun laitteen ja resurssin laajuus tulisi kirjoittaa muistiin eikä olettaa.

Säilytä myös valtuutettu palautumisreitti, koska käyttäjä, joka ei voi palautua, löytää epävirallisen. Käsittele kaikki paljastuneet tunnistetiedot niiden todellisen poistoprosessin kautta. Suoritettu käynti tai salasanan vaihto ei itsessään peruuta muita aktiivisia istuntoja, ja juuri siinä aukossa useimmat tapaukset jatkuvat.

Kysymys, joka omistajalle viedään, on siksi kapea: mikä päätös tarvitsee henkilökohtaisen varmuuden, ja mikä on hyväksytty tapa saavuttaa sama varmuus, kun matkustaminen on mahdotonta. Siihen kysymykseen voi vastata, valitukseen matkasta ei.