מדוע ההרשמה ל-VPN מבקשת מכם לבקר במשרד

כשמבקשים מכם להתייצב באופן אישי עבור חשבון VPN זה נראה כמו מגבלה טכנית, וזה ממש לא כך. לפרוטוקול המנהרה אין דעה היכן אתם עומדים. מה שהביקור מיישם הוא החלטה בנוגע לזהות: מישהו בארגון חייב להשתכנע שהאדם שמקבל את האישורים הוא האדם הרשום. הבנה איזו החלטה זקוקה לביטחון הזה היא מה שהופך ויכוח על הנסיעה לבעיה שאפשר לפתור.

שלוש בקשות שנראות דומות

עובד חדש זקוק לכך שהזהות שלו תיקבע, הזכאות שלו תאושר והגישה שלו תאושר, ואף אחד מאלה לא נובע מבקשת תעודה או משם תצוגה בהודעת דואר. משתמש קיים שמחליף סיסמה זקוק לדרך מאושרת לאימות השינוי, וזו שאלה אחרת לגמרי. מי שאיבד את כל אמצעי האימות המקובלים זקוק לשחזור, וזה המסוכן משלושת המקרים, משום שהאדם שמבקש עלול להיות מתחזה שמנסה להחליף את הראיות שבדרך כלל היו עוצרות אותו.

מקרים אלה לא צריכים לחלוק כברירת מחדל נוהל לא רשמי אחד. החזקה של מספר עובד או גישה לתיבת דואר לא מאומתת אינה מחליפה את הבדיקה שהארגון בחר.

מה ביקור מוכיח ומה לא

הוכחת זהות היא תהליך עם שלבים ולא מקום. הנחיות כמו הנחיות NIST להוכחת זהות מפרידות בין הכרעת זהות, אימות הראיות שמאחוריה ובדיקה שהמבקש הוא האדם שהראיות הללו מתארות. כל שלב יכול להיות בנוכחות או בלי, מרחוק או במקום, והביטחון תלוי באופן שבו כולם מבוצעים. דילוג על שלב הוא החלטה בנוגע לסיכון, לא קיצור דרך בניירת.

עמידה במשרד אינה מבצעת בעצמה אף אחד מהשלבים הללו. גם שיחת וידאו אינה מבצעת בעצמה אף אחד מהם, ולכן תהליך מרחוק אינו חלש באופן אוטומטי ותהליך במקום אינו שלם באופן אוטומטי.

מפעילים מאומנים, טיפול בראיות ובקרות טכניות הם שנושאים את הביטחון, והמיקום רק מגביל כיצד ניתן ליישם אותם. שולחן במשרד עם מפעיל לא מאומן אינו תהליך חזק.

בקשו את החלופה המאושרת

אם הנסיעה אכן לא מעשית, בררו אצל הבעלים המיועד אם קיימת כבר שיטה מרחוק או שיטת שחזור מאושרת. אל תנהלו משא ומתן על חריגה עם מנהל יחיד, משום שזה יוצר אישור שאיש אינו יכול לבקר אותו ותקדים שאיש לא הסכים לו. המסלול המאושר מתועד בדרך כלל, גם כשאיש לא ביקש אותו לאחרונה.

כאשר נדרש שלב במקום, בררו בדיוק איזה שלב הוא מספק. ביקור שמאמת ראיות הוא דרישה שונה מזו שמעידה על חתימה, ולשניים יש חלופות שונות.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

שמרו על השלבים המאוחרים מפורשים

האימות אינו סוף התהליך. אישור גישה, קשירת אישורים ומסירה זקוקים כל אחד לרישום משלו, ויש לכתוב את היקף ההתקן והמשאב המיועדים ולא להניח אותם.

שמרו גם על מסלול השחזור המאושר, משום שמשתמש שאינו יכול להשתחזר ימצא מסלול לא רשמי. טפלו בכל אישור שנחשף באמצעות תהליך הסרתו בפועל. ביקור שהושלם או החלפת סיסמה אינם מבטלים בעצמם הפעלות פעילות אחרות, ובפער הזה ממשיכים רוב האירועים.

השאלה שיש להחזיר לבעלים היא לפיכך צרה: איזו החלטה זקוקה לביטחון אישי, ומהי הדרך המאושרת להגיע לאותו ביטחון כאשר הנסיעה בלתי אפשרית. על שאלה זו אפשר לענות, ועל תלונה בנוגע לנסיעה לא.