Þarf iPad sitt eigið VPN-biðlaraskírteini?

Nýr iPad gengur í teymið, og fljótlegasta leiðin er að flytja út fyrirliggjandi biðlaraskírteini og setja það upp á spjaldtölvuna. Það virkar þar til einhver hættir, týnir tæki eða biður um úttekt sem segir hvaða tæki tengdist og hvenær. Ákvörðunin snýst ekki um skírteinisskrána heldur auðkennið: hvort hægt sé að heimila og afturkalla hvert tæki fyrir sig. Kostnaður og stjórnunarvinna ráða svörunni, og hvort tveggja er minna en það virðist.

Sameiginlegur útgefandi, aðskilin auðkenni

Hvert tæki getur treyst sama skírteinisyfirvaldi og tengst sömu gátt þótt það hafi annað biðlaraauðkenni. Útgefandinn er traustsfesting, en auðkennið er lykilpar sem þjónninn varpar efni þess í stefnu. Það er samruni þessara tveggja sem lætur sameiginlegt skírteini virðast hættulaust. Það er aðeins hættulaust þar til einhver þarf að vita hvaða tæki opnaði setu.

Að deila útgefandanum sparar uppsetningarvinnu og breytir engu um ábyrgð á hverju tæki. Að deila auðkenninu fellir hvert tæki í eina afturkallanlega einingu: að afturkalla eitt afturkallar öll, og að heimila staðgengil heimilar hvert eintak lykilsins sem nokkurn tíma var búið til. Þessi skipti er þess virði að gera með skýrum hætti frekar en með því að afrita skrá vegna þess að það er fljótlegra á föstudagseftirmiðdegi.

Þegar annað skírteini kostar of mikið

Skráning fyrir hvert tæki kostar eitt þrep: stýrða stillingu, SCEP-beiðni eða leidda innflutning með einnota lykilorði. Hún kostar líka stað til að fylgjast með raðnúmerum og gildistíma, þann hlut sem flestar uppsetningar gleyma þar til fyrsta skírteinið rennur út. Báðir kostnaðarliðir eru einstakir, og báðir minnka um leið og skráningarferlið sjálfvirknir þá.

Kostnaðurinn er raunverulegur fyrir heimili með tvær spjaldtölvur og einn notanda, þar sem sameiginlegt auðkenni er skynsamleg ákvörðun skjalfest í einni setningu. Hann er ekki skynsamlegur fyrir þjónustu þar sem draga verður aðgang til baka fyrir hvern einstakling eða hvert tæki, því afturköllunarsagan er öll ástæðan fyrir að nota skírteini í stað lykilorðs. Metið uppsetninguna eftir því hversu oft tæki skipta um hendur, ekki eftir því hversu mörg tæki eru til í dag.

Skráið tækið, afritið ekki lykilinn

Nútíma vettvangar geyma einkalykla í varðveittri geymslu, og sumir merkja þá sem óútflutningshæfa að hönnun. Sú eiginleiki er það sem gerir afritun ómögulega frá upphafi, og hann er líka ástæðan fyrir því að ekki er hægt að flytja útflutta pakka frá fartölvu einfaldlega aftur inn í spjaldtölvu á nokkurn studdan hátt. Tilraun gerir samt stillingu sem setur sig upp hreinlega og auðkennir sig svo aldrei.

Notið þá skráningaraðferð sem uppsetningin styður þegar: stýrða auðkennisstillingu, SCEP-þjónustu eða reikningsbundið ferli sem gefur út nýjan lykil á tækinu. Að dreifa einkalykli skírteinisyfirvaldsins til að leysa vantað auðkenni er önnur mistök með mun stærra áhrifasvið. Yfirvaldið gefur út skilríki og ætti aldrei að ferðast til endapunktsins.

Kannið afturköllunina áður en þið svarið

Áður en þið veljið sameiginlegu valkostinn, lýsið því hvernig afturköllun lítur út á versta degi. Ef svarið er ein aðgerð sem hefur áhrif á nokkur tæki, hefur hönnunin þegar ákveðið gegn ykkur.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Skoðið efnið sem þið hafið í raun: hvort einkalykill sé til staðar, hvað efnið segir og hvort hægt sé að afturkalla raðnúmerið sérstaklega. Skírteinisskrá án lykils síns getur ekki auðkennt neitt, og þess vegna mistakast sum afrituð auðkenni við fyrstu tengingu.

Að eyða appi af spjaldtölvunni er ekki afturköllun, og þjónninn heldur áfram að samþykkja auðkennið þar til einhver gerir það óvirkt. Skrifið þá setningu í handbókina áður en fyrsta tækið er skráð.