Un iPad a-t-il besoin de son propre certificat client VPN ?

Un nouvel iPad rejoint l’équipe, et le chemin le plus rapide consiste à exporter le certificat client existant et à l’installer sur la tablette. Cela fonctionne jusqu’à ce que quelqu’un parte, perde un appareil ou demande un audit indiquant quel appareil s’est connecté et quand. La décision ne porte pas sur le fichier de certificat mais sur l’identité : si chaque appareil peut être autorisé et révoqué pour lui-même. Le coût et l’effort de gestion décident de la réponse, et les deux sont plus petits qu’ils n’y paraissent.

Émetteur commun, identités séparées

Chaque appareil peut faire confiance à la même autorité de certification et se connecter à la même passerelle tout en détenant une identité client différente. L’émetteur est une ancre de confiance, tandis que l’identité est une paire de clés dont le serveur associe le sujet à une politique. Confondre les deux, c’est ce qui fait paraître un certificat partagé inoffensif. Il ne reste inoffensif que jusqu’à ce que quelqu’un ait besoin de savoir quel appareil a ouvert une session.

Partager l’émetteur économise du travail de configuration et ne change rien à la responsabilité par appareil. Partager l’identité replie chaque appareil en une seule unité révocable : révoquer l’une révoque toutes, et autoriser un remplacement autorise chaque copie de la clé jamais fabriquée. Cet échange mérite d’être fait explicitement plutôt qu’en copiant un fichier parce que c’est plus rapide un vendredi après-midi.

Quand un second certificat coûte trop cher

L’enregistrement par appareil coûte une étape : une charge gérée, une demande SCEP ou un import guidé avec un mot de passe à usage unique. Il coûte aussi un endroit où suivre les numéros de série et les dates d’expiration, la partie que la plupart des déploiements oublient jusqu’à l’expiration du premier certificat. Les deux coûts sont ponctuels, et les deux diminuent dès que le flux d’enregistrement les automatise.

Le coût est réel pour un foyer avec deux tablettes et un seul utilisateur, où une identité partagée est une décision raisonnable documentée en une phrase. Elle n’est pas raisonnable pour un service où l’accès doit être retiré par personne ou par appareil, car l’histoire de la révocation est toute la raison d’utiliser des certificats plutôt qu’un mot de passe. Jugez le déploiement à la fréquence à laquelle les appareils changent de mains, non au nombre d’appareils qui existent aujourd’hui.

Enrôlez l’appareil, ne copiez pas la clé

Les plateformes modernes conservent les clés privées dans un magasin protégé, et certaines les marquent comme non exportables par conception. Cette propriété est ce qui rend la copie impossible dès le départ, et c’est aussi pourquoi un paquet exporté depuis un ordinateur portable ne peut pas être simplement réimporté sur une tablette d’une manière prise en charge. Tenter malgré tout produit un profil qui s’installe proprement puis n’authentifie jamais.

Utilisez la méthode d’enrôlement que le déploiement prend déjà en charge : une charge d’identité gérée, un service SCEP ou un flux basé sur un compte qui émet une nouvelle clé sur l’appareil. Distribuer la clé privée de l’autorité de certification pour résoudre une identité manquante est une autre erreur, d’une portée bien plus grande. L’autorité émet des accréditations et ne devrait jamais voyager jusqu’au point de terminaison.

Vérifiez la révocation avant de répondre

Avant de choisir l’option partagée, décrivez à quoi ressemble la révocation le pire jour. Si la réponse est une seule action touchant plusieurs appareils, la conception a déjà décidé contre vous.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Examinez le matériel que vous détenez réellement : si une clé privée est présente, ce que dit le sujet et si le numéro de série peut être révoqué individuellement. Un fichier de certificat sans sa clé ne peut rien authentifier, et c’est pourquoi certaines identités copiées échouent à la première connexion.

Supprimer une application de la tablette n’est pas une révocation, et le serveur continue d’accepter l’identité jusqu’à ce que quelqu’un la désactive. Écrivez cette phrase dans le runbook avant que le premier appareil ne soit enrôlé.