Zašto VPN upis traži da posjetite ured

Zahtjev da se lično pojavite radi VPN računa izgleda kao tehničko ograničenje, a nije ništa od toga. Tunelski protokol nema mišljenje o tome gdje stojite. Ono što posjeta provodi jeste odluka o identitetu: neko u organizaciji mora biti uvjeren da je osoba koja prima akreditiv osoba u evidenciji. Razumijevanje koja odluka traži to uvjerenje pretvara raspravu o putovanju u rješiv problem.

Tri zahtjeva koja izgledaju isto

Novi zaposlenik treba da mu se utvrdi identitet, potvrdi pravo i odobri pristup, a ništa od toga ne slijedi iz zahtjeva za certifikat ili prikazanog imena u e-poruci. Postojeći korisnik koji mijenja lozinku treba odobren način da potvrdi promjenu, što je opet drugo pitanje. Onaj koji je izgubio sva prihvaćena sredstva provjere treba oporavak, a to je najopasnije od troje, jer osoba koja traži može biti prevarant koji pokušava zamijeniti dokaze koji bi ga inače zaustavili.

Ti slučajevi ne bi trebali po defaultu dijeliti jedan neformalni postupak. Posjedovanje broja zaposlenika ili pristup nepregledanom sandučetu nije zamjena za provjeru koju je organizacija odabrala.

Šta posjeta dokazuje, a šta ne

Dokazivanje identiteta je proces s fazama, a ne mjesto. Smjernice poput NIST-ovih smjernica za dokazivanje identiteta razdvajaju utvrđivanje identiteta, provjeru dokaza koji stoje iza njega i potvrdu da je podnosilac osoba koju ti dokazi opisuju. Svaka faza može biti s prisustvom ili bez, na daljinu ili na licu mjesta, a uvjerenje zavisi od toga kako se sve one izvode. Preskakanje faze je odluka o riziku, a ne prečica kroz papirologiju.

Stajanje u uredu samo po sebi ne izvodi nijednu od tih faza. Video poziv također sam po sebi ne izvodi nijednu od njih, zbog čega daljinski proces nije automatski slabiji, a proces na licu mjesta nije automatski potpun.

Uvjerenje nose obučeni operateri, rukovanje dokazima i tehničke kontrole, a lokacija samo ograničava kako se mogu primijeniti. Radni sto u uredu s neobučenim operaterom nije jak proces.

Zatražite odobrenu alternativu

Ako je putovanje zaista nepraktično, provjerite kod imenovanog vlasnika postoji li već odobrena daljinska metoda ili metoda oporavka. Ne pregovarajte o izuzetku s pojedinačnim administratorom, jer to stvara akreditiv koji niko ne može revidirati i presedan s kojim se niko nije složio. Odobreni put je obično dokumentovan, čak i kada ga nedavno niko nije tražio.

Gdje je potreban korak na licu mjesta, provjerite tačno koju fazu on zadovoljava. Posjeta koja provjerava dokaze drugačiji je zahtjev od one koja svjedoči potpisu, i dvije imaju različite alternative.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Neka kasnije faze budu eksplicitne

Provjera nije kraj procesa. Odobrenje pristupa, vezivanje akreditiva i dostava svaki trebaju vlastitu evidenciju, a obim predviđenog uređaja i resursa treba zapisati, a ne pretpostaviti.

Sačuvajte i odobreni put oporavka, jer korisnik koji ne može da se oporavi naći će neformalni. S svakim izloženim akreditivom postupajte kroz njegov stvarni proces uklanjanja. Završena posjeta ili promjena lozinke sama po sebi ne opoziva druge aktivne sesije, i upravo u toj praznini većina incidenata se nastavlja.

Pitanje koje treba vratiti vlasniku stoga je usko: koja odluka traži lično uvjerenje i koji je odobreni način da se isto uvjerenje postigne kada je putovanje nemoguće. Na to pitanje se može odgovoriti, a na žalbu zbog putovanja ne.