Kell az iPadnek saját VPN-ügyféltanúsítvány?

Új iPad csatlakozik a csapathoz, és a leggyorsabb út a meglévő ügyféltanúsítvány exportálása és telepítése a táblagépre. Ez addig működik, amíg valaki el nem megy, el nem veszít egy eszközt, vagy olyan auditot nem kér, amely megmondja, melyik eszköz mikor kapcsolódott. A döntés nem a tanúsítványfájlról szól, hanem az identitásról: hogy minden eszköz önállóan engedélyezhető és visszavonható-e. A költség és az adminisztrációs teher dönti el a választ, és mindkettő kisebb, mint amilyennek látszik.

Közös kibocsátó, külön identitások

Minden eszköz ugyanabban a tanúsítványhatóságban bízhat, és ugyanahhoz az átjáróhoz kapcsolódhat, miközben más ügyfél-identitása van. A kibocsátó bizalmi horgony, az identitás pedig kulcspár, amelynek alanyát a szerver egy szabályzathoz rendeli. Éppen a kettő összekeverése az, ami egy közös tanúsítványt ártalmatlannak éreztet. Csak addig marad ártalmatlan, amíg valakinek tudnia kell, melyik eszköz nyitott munkamenetet.

A kibocsátó megosztása konfigurációs munkát takarít meg, és semmit sem változtat az eszközönkénti elszámoltathatóságon. Az identitás megosztása minden eszközt egyetlen visszavonható egységbe olvaszt: egy visszavonása mindet visszavonja, egy csere engedélyezése pedig minden valaha készült kulcsmásolatot engedélyez. Ezt a cserét érdemes kifejezetten megtenni, nem pedig fájlmásolással, mert péntek délután az gyorsabb.

Amikor a második tanúsítvány túl sokba kerül

Az eszközönkénti regisztráció egy lépésbe kerül: kezelt profil, SCEP-kérés vagy egyszeri jelszavas irányított import. Helyet is kér a sorozatszámok és lejárati dátumok követésére, azt a részt, amelyet a legtöbb telepítés elfelejt, amíg az első tanúsítvány le nem jár. Mindkét költség egyszeri, és mindkettő csökken, amint a regisztrációs folyamat automatizálja őket.

A költség valós egy két táblagéppel és egy felhasználóval rendelkező háztartásban, ahol a közös identitás egy mondatban dokumentált ésszerű döntés. Nem ésszerű olyan szolgáltatásnál, ahol a hozzáférést személyenként vagy eszközönként kell visszavonni, mert a visszavonás története a teljes indok arra, hogy tanúsítványt használjunk jelszó helyett. A telepítést az alapján ítélje meg, milyen gyakran cserélnek gazdát az eszközök, nem az alapján, hány eszköz van ma.

Regisztrálja az eszközt, ne másolja a kulcsot

A modern platformok védett tárolóban tartják a privát kulcsokat, és némelyik tervezésnél fogva nem exportálhatónak jelöli őket. Ez a tulajdonság teszi eleve lehetetlenné a másolást, és ezért sem lehet egy laptopról exportált csomagot egyszerűen újraimportálni egy táblagépre semmilyen támogatott módon. A kísérlet ennek ellenére olyan profilt hoz létre, amely tisztán települ, majd soha nem hitelesít.

Használja azt a regisztrációs módszert, amelyet a telepítés már támogat: kezelt identitásprofil, SCEP-szolgáltatás vagy fiókalapú folyamat, amely új kulcsot ad ki az eszközön. A tanúsítványhatóság privát kulcsának terjesztése egy hiányzó identitás megoldására más hiba, sokkal nagyobb hatókörrel. A hatóság hitelesítő adatokat ad ki, és soha nem szabadna a végpontra utaznia.

Ellenőrizze a visszavonást, mielőtt válaszol

Mielőtt a közös lehetőséget választja, írja le, hogyan néz ki a visszavonás a legrosszabb napon. Ha a válasz egyetlen művelet, amely több eszközt érint, a tervezés már ön ellen döntött.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Vizsgálja meg a ténylegesen birtokában lévő anyagot: van-e privát kulcs, mit mond az alany, és visszavonható-e a sorozatszám külön. A kulcsa nélküli tanúsítványfájl semmit sem tud hitelesíteni, és ezért buknak el egyes másolt identitások az első kapcsolatnál.

Egy alkalmazás törlése a táblagépről nem visszavonás, és a szerver továbbra is elfogadja az identitást, amíg valaki le nem tiltja. Írja be ezt a mondatot a runbookba, mielőtt az első eszközt regisztrálják.