Por que a inscrición VPN lle pide visitar a oficina

Que lle pidan presentarse en persoa para unha conta VPN parece unha limitación técnica, e non o é en absoluto. O protocolo do túnel non ten opinión sobre onde está vostede. O que a visita implementa é unha decisión sobre a identidade: alguén na organización debe quedar convencido de que a persoa que recibe a credencial é a persoa que consta no rexistro. Entender que decisión necesita esa garantía é o que converte unha discusión sobre a viaxe nun problema resoluble.

Tres solicitudes que parecen iguais

Un novo empregado necesita que se estableza a súa identidade, se confirme a súa elixibilidade e se aprobe o seu acceso, e nada diso se deduce dunha solicitude de certificado nin dun nome visible nun correo. Un usuario existente que cambia o contrasinal necesita unha forma aprobada de autenticar o cambio, que é outra cuestión distinta. Quen perdeu todos os autenticadores aceptados necesita recuperación, e ese é o máis perigoso dos tres, porque quen o pide pode ser un impostor que intenta substituír as probas que normalmente o deterían.

Eses casos non deberían compartir por defecto un único procedemento informal. Posuír un número de empregado ou acceso a unha caixa de correo non verificada non substitúe a comprobación que escolleu a organización.

Que demostra unha visita e que non

A proba de identidade é un proceso con etapas, non un lugar. Directrices como as directrices de proba de identidade do NIST separan a resolución dunha identidade, a validación das probas que a apoian e a verificación de que o solicitante é a persoa que describen esas probas. Cada etapa pode ser con ou sen asistencia, remota ou presencial, e a garantía depende de como se realicen todas. Saltarse unha etapa é unha decisión sobre o risco, non un atallo burocrático.

Estar de pé nunha oficina non realiza por si só ningunha desas etapas. Unha videollamada tampouco realiza por si soa ningunha delas, polo que un proceso remoto non é automaticamente máis débil nin un presencial é automaticamente completo.

A garantía achegánaa operadores formados, a xestión das probas e os controis técnicos, e a localización só limita como se poden aplicar. Un escritorio nunha oficina cun operador non formado non é un proceso sólido.

Pida a alternativa aprobada

Se a viaxe é realmente pouco práctica, pregunte ao propietario designado se xa existe un método remoto ou de recuperación aprobado. Non negocie unha excepción cun administrador individual, porque iso produce unha credencial que ninguén pode auditar e un precedente que ninguén aceptou. A vía aprobada adoita estar documentada, mesmo cando ninguén a pediu recentemente.

Onde se require un paso presencial, averigüe exactamente que etapa satisfai. Unha visita que verifica probas é un requisito distinto dunha que presencia unha sinatura, e as dúas teñen alternativas diferentes.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Manteña explícitas as etapas posteriores

A verificación non é o final do proceso. A aprobación do acceso, a vinculación de credenciais e a entrega necesitan cada unha o seu propio rexistro, e o alcance do dispositivo e do recurso previstos debe escribirse en lugar de supoñerse.

Conserve tamén a ruta de recuperación autorizada, porque un usuario que non pode recuperarse atopará unha informal. Trate calquera credencial exposta mediante o seu proceso real de retirada. Unha visita completada ou un cambio de contrasinal non revoga por si só outras sesións activas, e é nesa fenda onde continúan a maioría dos incidentes.

A pregunta que hai que levar de volta ao propietario é, por tanto, estreita: que decisión necesita garantía en persoa e cal é a forma aprobada de alcanzar a mesma garantía cando a viaxe é imposible. Esa pregunta pode responderse, e unha queixa sobre a viaxe non.