Miért kéri a VPN-regisztráció, hogy látogasson el az irodába

Az, hogy személyesen megjelenjen egy VPN-fiók miatt, technikai korlátnak tűnik, és erről szó sincs. Az alagútprotokollnak nincs véleménye arról, hol áll. A látogatás egy identitásról szóló döntést valósít meg: valakinek a szervezetben meg kell győződnie arról, hogy a hitelesítő adatot átvevő személy az, aki a nyilvántartásban szerepel. Annak megértése, melyik döntéshez kell ez a bizonyosság, teszi az utazásról szóló vitát megoldható problémává.

Három kérés, amely hasonlónak tűnik

Egy új munkatársnak meg kell állapítani az identitását, igazolni a jogosultságát és jóváhagyni a hozzáférését, és ezek egyike sem következik egy tanúsítványkérelemből vagy egy e-mailben megjelenő névből. Egy meglévő felhasználónak, aki jelszót változtat, jóváhagyott módra van szüksége a változás hitelesítéséhez, ami megint más kérdés. Akinek minden elfogadott hitelesítő eszköze elveszett, helyreállításra szorul, és ez a három közül a legveszélyesebb, mert a kérő lehet egy szélhámos, aki a szokásosan megállító bizonyítékokat próbálja lecserélni.

Ezeknek az eseteknek nem kellene alapértelmezés szerint egyetlen informális eljárást megosztaniuk. Egy alkalmazotti szám birtoklása vagy egy nem ellenőrzött postafiókhoz való hozzáférés nem helyettesíti a szervezet által választott ellenőrzést.

Mit bizonyít egy látogatás és mit nem

Az identitás bizonyítása szakaszokból álló folyamat, nem helyszín. Az olyan iránymutatások, mint a NIST identitás-bizonyítási iránymutatása, szétválasztják az identitás megoldását, az azt alátámasztó bizonyítékok érvényesítését és annak ellenőrzését, hogy a kérelmező az a személy, akit ezek a bizonyítékok leírnak. Minden szakasz lehet jelenléttel vagy anélkül, távolról vagy helyszínen, és a bizonyosság attól függ, hogyan hajtják végre mindegyiket. Egy szakasz kihagyása kockázati döntés, nem papírmunkán át vezető rövidítés.

Az irodában állás önmagában egyik szakaszt sem hajtja végre. A videóhívás sem hajtja végre önmagában egyiket sem, ezért egy távoli folyamat nem automatikusan gyengébb, és egy helyszíni nem automatikusan teljes.

A bizonyosságot képzett üzemeltetők, a bizonyítékok kezelése és a technikai kontrollok hordozzák, a helyszín pedig csak korlátozza, hogyan alkalmazhatók. Egy irodai asztal képzetlen üzemeltetővel nem erős folyamat.

Kérje a jóváhagyott alternatívát

Ha az utazás valóban nem praktikus, kérdezze meg a kijelölt tulajdonostól, hogy létezik-e már jóváhagyott távoli vagy helyreállítási módszer. Ne tárgyaljon kivételről egyéni rendszergazdával, mert az olyan hitelesítő adatot eredményez, amelyet senki sem tud auditálni, és olyan precedenst, amelyhez senki sem járult hozzá. A jóváhagyott útvonal általában dokumentált, akkor is, ha mostanában senki sem kérte.

Ahol helyszíni lépés szükséges, állapítsa meg pontosan, melyik szakaszt teljesíti. A bizonyítékokat ellenőrző látogatás más követelmény, mint az, amely aláírást tanúsít, és a kettőnek különböző alternatívái vannak.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Tartsa kifejezetté a későbbi szakaszokat

Az ellenőrzés nem a folyamat vége. A hozzáférés jóváhagyása, a hitelesítő adat hozzákötése és az átadás mindegyikének saját nyilvántartásra van szüksége, és a tervezett eszköz és erőforrás hatókörét le kell írni, nem feltételezni.

Őrizze meg az engedélyezett helyreállítási útvonalat is, mert az a felhasználó, aki nem tud helyreállni, informálisat fog találni. Minden felfedett hitelesítő adatot a tényleges eltávolítási folyamatán keresztül kezeljen. Egy befejezett látogatás vagy jelszóváltoztatás önmagában nem vonja vissza a többi aktív munkamenetet, és éppen ebben a résben folytatódik a legtöbb incidens.

A tulajdonoshoz visszavinni való kérdés ezért szűk: melyik döntéshez kell személyes bizonyosság, és mi a jóváhagyott módja ugyanazon bizonyosság elérésének, ha az utazás lehetetlen. Erre a kérdésre lehet válaszolni, az utazásról szóló panaszra nem.