Accesso VPN dei clienti: date al lavoro privilegiato il suo dispositivo

Il profilo di connessione dice Produzione, il tunnel si alza e ogni finestra sul desktop può ormai raggiungere i sistemi del cliente. Nulla in quella sequenza ha separato la sessione privilegiata dalla scheda del browser accanto. Un profilo VPN è un nome più un insieme di rotte; il confine che vi interessa davvero si costruisce con l’identità del dispositivo, un ambiente di esecuzione controllato e un percorso per le credenziali. Questi tre si applicano in luoghi diversi, ed è per questo che aggiungerne uno e saltare gli altri produce un progetto che sembra conforme e non lo è.

Il nome di un profilo non è un confine

Il client applica rotte e configurazione DNS quando il tunnel si alza, e tutto ciò che poi gira su quella macchina eredita entrambe.

Un nome in un elenco a discesa cambia ciò che un operatore riconosce, non ciò che il sistema operativo consente.

L’identità del dispositivo è ciò che il gateway può verificare

Un gateway che supporta certificati di dispositivo o controlli di postura autentica la macchina oltre alla persona. È quello lo strato che può rifiutare una connessione da un portatile non gestito prima che qualcuno digiti una password. Dà anche qualcosa di concreto da revocare quando un dispositivo va perso. Copiare un certificato su tre macchine elimina esattamente questa proprietà, ed è per questo che il ciclo di vita del certificato appartiene all’accordo e non a una cartella condivisa.

Il cliente decide quali di questi controlli richiede la sua politica, e una macchina virtuale costruita da un fornitore può non soddisfare affatto un controllo di postura.

Dove perde il confine di una macchina virtuale

Una macchina virtuale tiene insieme gli strumenti del cliente e lo stato della rete, e questo è davvero utile. Dipende però anche dal suo host e dall’hypervisor, e diverse comodità oltrepassano la linea: cartelle condivise, integrazione degli appunti, agenti per le credenziali e accesso amministrativo a livello di host. Un ospite privilegiato su un host di uso quotidiano non è affidabile in modo indipendente, perché l’host può osservare ciò che fa l’ospite. Trattate la macchina virtuale come un controllo che riduce l’esposizione, non come un dominio di sicurezza separato.

Un dispositivo fisico dedicato elimina la dipendenza dall’host e vi aggiunge un obbligo di manutenzione.

Credenziali e percorsi di trasferimento

Usate identità individuali e revocabili per ingegnere e per cliente, e tenetele fuori dai profili personali del browser e dalla cronologia delle chat. Le credenziali condivise da un intero team non si possono attribuire, ruotare o revocare in modo pulito. Decidete il percorso di trasferimento per strumenti, file e output diagnostico prima della prima sessione, perché lo spostamento estemporaneo dei file è il modo in cui un confine smette silenziosamente di esserlo. Se occorre raggiungere due clienti insieme, fate approvare prima la separazione di rete e identità.

Non collegate mai due reti di clienti attraverso un’unica postazione di lavoro solo perché quel pomeriggio era comodo.

L’accordo che lo rende ripetibile

Scrivete una scheda breve per cliente e conservatela dove entrambe le parti possono trovarla. Deve indicare il dispositivo o l’ambiente remoto approvato e chi lo mantiene, le identità consentite, i sistemi e le operazioni che possono raggiungere, il percorso di trasferimento e il modo normale in cui una sessione termina.

Cinque righe che qualcuno rilegge quando una persona entra o esce battono una politica che nessuno può applicare:

• Dispositivo o ambiente remoto approvato, con un responsabile della manutenzione nominato.
• Identità individuali di utente e dispositivo consentite per il supporto.
• Sistemi e operazioni a cui quelle identità possono accedere.
• Percorso consentito per strumenti, file e output diagnostico.
• Processo di fine sessione e un’alternativa di emergenza autorizzata.

Accesso di emergenza senza spostare le credenziali

Quando un controllo blocca una riparazione urgente, il percorso è il processo di deroga, non un secondo portatile con le stesse credenziali. Una deroga approvata registra chi l’ha autorizzata, che cosa è stato allentato e quando finisce. Spostare una credenziale su una macchina di uso quotidiano cambia il confine nel momento peggiore possibile, e di solito resta cambiato anche dopo. La via di emergenza merita una prova finché nulla è rotto.

Poi chiudete la sessione come dice l’accordo, e confermate che l’accesso si è davvero fermato.