האם iPad זקוק לתעודת לקוח VPN משלו?

iPad חדש מצטרף לצוות, והנתיב המהיר ביותר הוא לייצא את תעודת הלקוח הקיימת ולהתקין אותה בטאבלט. זה עובד עד שמישהו עוזב, מאבד מכשיר או מבקש ביקורת שאומרת איזה מכשיר התחבר ומתי. ההחלטה אינה על קובץ התעודה אלא על זהות: אם כל מכשיר יכול להיות מורשה ומבוטל בעצמו. עלות ומאמץ ניהולי מכריעים את התשובה, ושניהם קטנים ממה שהם נראים.

מנפיק משותף, זהויות נפרדות

כל מכשיר יכול לבטוח באותה רשות תעודות ולהתחבר לאותו שער תוך שהוא מחזיק בזהות לקוח אחרת. המנפיק הוא עוגן אמון, ואילו הזהות היא זוג מפתחות שהשרת ממפה את נושאו למדיניות. ערבוב השניים הוא מה שגורם לתעודה משותפת להיראות בלתי מזיקה. היא נשארת בלתי מזיקה רק עד שמישהו צריך לדעת איזה מכשיר פתח הפעלה.

שיתוף המנפיק חוסך עבודת תצורה ואינו משנה דבר באחריותיות לכל מכשיר. שיתוף הזהות מקפל כל מכשיר ליחידה אחת ניתנת לביטול: ביטול אחד מבטל את כולם, והרשאה למחליף מרשה כל עותק של המפתח שאי פעם נוצר. כדאי לעשות את העסקה הזו במפורש ולא על ידי העתקת קובץ מפני שזה מהיר יותר ביום שישי אחר הצהריים.

כשתעודה שנייה עולה יותר מדי

רישום לכל מכשיר עולה שלב אחד: מטען מנוהל, בקשת SCEP או ייבוא מודרך עם סיסמה חד-פעמית. הוא גם עולה מקום למעקב אחר מספרים סידוריים ותאריכי תפוגה, החלק שרוב הפריסות שוכחות עד שהתעודה הראשונה פגה. שתי העלויות חד-פעמיות, ושתיהן מצטמצמות ברגע שזרימת הרישום מייעלת אותן.

העלות אמיתית למשק בית עם שני טאבלטים ומשתמש אחד, שבו זהות משותפת היא החלטה סבירה המתועדת במשפט אחד. היא אינה סבירה לשירות שבו יש למשוך גישה לכל אדם או לכל מכשיר, מפני שסיפור הביטול הוא כל הסיבה להשתמש בתעודות במקום בסיסמה. שפטו את הפריסה לפי תדירות החלפת הידיים של המכשירים, ולא לפי מספר המכשירים שקיימים היום.

רשמו את המכשיר, אל תעתיקו את המפתח

פלטפורמות מודרניות שומרות מפתחות פרטיים במאגר מוגן, וחלקן מסמנות אותם כבלתי ניתנים לייצוא כברירת מחדל. התכונה הזו היא מה שהופך העתקה לבלתי אפשרית מלכתחילה, והיא גם הסיבה לכך שחבילה מיוצאת ממחשב נייד אינה ניתנת לייבוא חוזר פשוט לטאבלט בשום דרך נתמכת. ניסיון לעשות זאת בכל זאת מייצר פרופיל שמתקין בצורה נקייה ואז לעולם אינו מאמת.

השתמשו בשיטת הרישום שהפריסה כבר תומכת בה: מטען זהות מנוהל, שירות SCEP או זרימה מבוססת חשבון שמנפיקה מפתח חדש במכשיר. הפצת המפתח הפרטי של רשות התעודות כדי לפתור זהות חסרה היא טעות אחרת עם רדיוס השפעה גדול בהרבה. הרשות מנפיקה אישורים ולעולם לא אמורה לנסוע לנקודת הקצה.

בדקו את הביטול לפני שתענו

לפני בחירת האפשרות המשותפת, תארו איך נראה ביטול ביום הגרוע ביותר. אם התשובה היא פעולה אחת שמשפיעה על כמה מכשירים, העיצוב כבר החליט נגדכם.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

בדקו את החומר שבאמת יש לכם: אם קיים מפתח פרטי, מה אומר הנושא והאם אפשר לבטל את המספר הסידורי בנפרד. קובץ תעודה בלי המפתח שלו אינו יכול לאמת דבר, ולכן כמה זהויות מועתקות נכשלות בחיבור הראשון.

מחיקת אפליקציה מהטאבלט אינה ביטול, והשרת ממשיך לקבל את הזהות עד שמישהו מנטרל אותה. כתבו את המשפט הזה במדריך ההפעלה לפני רישום המכשיר הראשון.