Apakah iPad Perlu Sertifikat Klien VPN Sendiri?

iPad baru bergabung dengan tim, dan jalur tercepat adalah mengekspor sertifikat klien yang ada lalu memasangnya di tablet. Itu berhasil sampai seseorang keluar, kehilangan perangkat, atau meminta audit yang menunjukkan perangkat mana terhubung kapan. Keputusannya bukan soal berkas sertifikat melainkan identitas: apakah setiap perangkat dapat diotorisasi dan dicabut sendiri. Biaya dan upaya pengelolaan menentukan jawabannya, dan keduanya lebih kecil dari yang terlihat.

Penerbit sama, identitas terpisah

Setiap perangkat dapat memercayai otoritas sertifikat yang sama dan terhubung ke gateway yang sama sambil memegang identitas klien berbeda. Penerbit adalah jangkar kepercayaan, sedangkan identitas adalah pasangan kunci yang subjeknya dipetakan server ke suatu kebijakan. Mencampur keduanya itulah yang membuat sertifikat bersama terasa tidak berbahaya. Ia tetap tidak berbahaya hanya sampai seseorang perlu tahu perangkat mana yang membuka sesi.

Berbagi penerbit menghemat pekerjaan konfigurasi dan tidak mengubah apa pun dalam akuntabilitas per perangkat. Berbagi identitas meruntuhkan setiap perangkat menjadi satu unit yang dapat dicabut: mencabut satu mencabut semua, dan mengotorisasi pengganti mengotorisasi setiap salinan kunci yang pernah dibuat. Perdagangan itu layak dilakukan secara eksplisit alih-alih menyalin berkas karena lebih cepat pada Jumat sore.

Ketika Sertifikat Kedua Terlalu Mahal

Pendaftaran per perangkat memakan satu langkah: muatan terkelola, permintaan SCEP, atau impor terpandu dengan kata sandi sekali pakai. Ia juga memerlukan tempat untuk melacak nomor seri dan tanggal kedaluwarsa, bagian yang paling sering dilupakan penerapan sampai sertifikat pertama habis masa berlakunya. Kedua biaya itu sekali saja, dan keduanya menyusut begitu alur pendaftaran mengotomatiskannya.

Biayanya nyata bagi rumah tangga dengan dua tablet dan satu pengguna, di mana identitas bersama adalah keputusan wajar yang didokumentasikan dalam satu kalimat. Itu tidak wajar untuk layanan yang aksesnya harus dicabut per orang atau per perangkat, karena kisah pencabutan adalah seluruh alasan memakai sertifikat alih-alih kata sandi. Nilai penerapannya dari seberapa sering perangkat berpindah tangan, bukan dari berapa banyak perangkat yang ada hari ini.

Daftarkan Perangkat, Jangan Menyalin Kunci

Platform modern menyimpan kunci privat di penyimpanan terlindungi, dan sebagian menandainya tidak dapat diekspor secara desain. Sifat itulah yang membuat penyalinan mustahil sejak awal, dan juga sebabnya bundel yang diekspor dari laptop tidak bisa begitu saja diimpor ulang ke tablet dengan cara apa pun yang didukung. Mencobanya tetap menghasilkan profil yang terpasang bersih lalu tidak pernah mengautentikasi.

Gunakan metode pendaftaran yang sudah didukung penerapan: muatan identitas terkelola, layanan SCEP, atau alur berbasis akun yang menerbitkan kunci baru di perangkat. Menyebarkan kunci privat otoritas sertifikat untuk mengatasi identitas yang hilang adalah kesalahan lain dengan radius dampak jauh lebih besar. Otoritas menerbitkan kredensial dan seharusnya tidak pernah berpindah ke titik akhir.

Periksa Pencabutan Sebelum Menjawab

Sebelum memilih opsi bersama, gambarkan bagaimana pencabutan terlihat pada hari terburuk. Jika jawabannya satu tindakan yang memengaruhi beberapa perangkat, rancangan itu sudah memutuskan melawan Anda.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Periksa materi yang benar-benar Anda pegang: apakah ada kunci privat, apa kata subjek, dan apakah nomor seri dapat dicabut satu per satu. Berkas sertifikat tanpa kuncinya tidak dapat mengautentikasi apa pun, dan itulah sebabnya sebagian identitas hasil salinan gagal pada koneksi pertama.

Menghapus aplikasi dari tablet bukan pencabutan, dan server terus menerima identitas itu sampai seseorang menonaktifkannya. Tulis kalimat itu ke runbook sebelum perangkat pertama didaftarkan.