Pourquoi l’inscription VPN vous demande de venir au bureau

Qu’on vous demande de vous présenter en personne pour un compte VPN ressemble à une limitation technique, et ce n’en est absolument pas une. Le protocole du tunnel n’a aucune opinion sur l’endroit où vous vous trouvez. Ce que la visite met en œuvre est une décision sur l’identité : quelqu’un dans l’organisation doit être convaincu que la personne qui reçoit le justificatif est bien celle inscrite au registre. Comprendre quelle décision exige cette assurance, voilà ce qui transforme une discussion sur le déplacement en problème soluble.

Trois demandes qui se ressemblent

Un nouvel arrivant a besoin que son identité soit établie, son éligibilité confirmée et son accès approuvé, et rien de tout cela ne découle d’une demande de certificat ou d’un nom affiché dans un courriel. Un utilisateur existant qui change de mot de passe a besoin d’un moyen approuvé d’authentifier ce changement, ce qui est encore une autre question. Celui qui a perdu tous les authentificateurs acceptés a besoin d’une récupération, et c’est la plus dangereuse des trois, car la personne qui demande peut être un imposteur cherchant à remplacer les preuves qui l’arrêteraient normalement.

Ces cas ne devraient pas partager par défaut une seule procédure informelle. Posséder un numéro d’employé ou accéder à une boîte aux lettres non vérifiée ne remplace pas le contrôle choisi par l’organisation.

Ce qu’une visite prouve et ce qu’elle ne prouve pas

La preuve d’identité est un processus par étapes plutôt qu’un lieu. Des recommandations comme les recommandations du NIST sur la preuve d’identité séparent la résolution d’une identité, la validation des preuves qui la sous-tendent et la vérification que le demandeur est la personne que ces preuves décrivent. Chaque étape peut être avec ou sans présence, à distance ou sur site, et l’assurance dépend de la façon dont toutes sont réalisées. Sauter une étape est une décision sur le risque, pas un raccourci administratif.

Se tenir dans un bureau n’exécute à lui seul aucune de ces étapes. Un appel vidéo n’en exécute pas non plus une seule à lui seul, c’est pourquoi un processus à distance n’est pas automatiquement plus faible et un processus sur site n’est pas automatiquement complet.

L’assurance repose sur des opérateurs formés, la gestion des preuves et des contrôles techniques, et le lieu ne fait que limiter la manière de les appliquer. Un bureau dans un local avec un opérateur non formé n’est pas un processus solide.

Demandez l’alternative approuvée

Si le déplacement est réellement peu pratique, demandez au propriétaire désigné s’il existe déjà une méthode à distance ou de récupération approuvée. Ne négociez pas d’exception avec un administrateur individuel, car cela produit un justificatif que personne ne peut auditer et un précédent que personne n’a accepté. La voie approuvée est généralement documentée, même quand personne ne l’a demandée récemment.

Lorsqu’une étape sur site est requise, déterminez précisément quelle étape elle satisfait. Une visite qui vérifie des preuves est une exigence différente de celle qui atteste une signature, et les deux ont des alternatives différentes.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Gardez les étapes ultérieures explicites

La vérification n’est pas la fin du processus. L’approbation de l’accès, la liaison du justificatif et la livraison ont chacune besoin de leur propre trace, et le périmètre de l’appareil et de la ressource visés doit être écrit plutôt que supposé.

Préservez aussi la voie de récupération autorisée, car un utilisateur qui ne peut pas récupérer en trouvera une informelle. Traitez tout justificatif exposé via son processus de retrait réel. Une visite terminée ou un changement de mot de passe ne révoque pas à lui seul les autres sessions actives, et c’est dans cet écart que la plupart des incidents se prolongent.

La question à rapporter au propriétaire est donc étroite : quelle décision exige une assurance en personne, et quelle est la voie approuvée pour atteindre la même assurance quand le déplacement est impossible. Cette question peut recevoir une réponse, une plainte sur le déplacement non.