Perché l’iscrizione VPN vi chiede di recarvi in ufficio

Che vi chiedano di presentarvi di persona per un account VPN sembra un limite tecnico, e non lo è affatto. Il protocollo del tunnel non ha alcuna opinione su dove vi troviate. Ciò che la visita attua è una decisione sull’identità: qualcuno nell’organizzazione deve essere convinto che la persona che riceve la credenziale sia quella registrata. Capire quale decisione richiede questa garanzia è ciò che trasforma una discussione sul viaggio in un problema risolvibile.

Tre richieste che sembrano uguali

Un nuovo assunto ha bisogno che la sua identità sia stabilita, la sua idoneità confermata e il suo accesso approvato, e nulla di tutto ciò deriva da una richiesta di certificato o da un nome visualizzato in un’e-mail. Un utente esistente che cambia la password ha bisogno di un modo approvato per autenticare la modifica, che è ancora un’altra questione. Chi ha perso tutti gli autenticatori accettati ha bisogno di un recupero, ed è il più pericoloso dei tre, perché chi lo chiede potrebbe essere un impostore che cerca di sostituire le prove che normalmente lo fermerebbero.

Questi casi non dovrebbero condividere per impostazione predefinita un’unica procedura informale. Possedere un numero di matricola o accedere a una casella di posta non verificata non sostituisce il controllo scelto dall’organizzazione.

Che cosa dimostra una visita e che cosa no

La prova dell’identità è un processo per fasi, non un luogo. Linee guida come le linee guida del NIST sulla prova dell’identità separano la risoluzione di un’identità, la validazione delle prove che la sostengono e la verifica che il richiedente sia la persona descritta da quelle prove. Ogni fase può essere con o senza presenza, da remoto o in sede, e la garanzia dipende da come vengono eseguite tutte. Saltare una fase è una decisione sul rischio, non una scorciatoia burocratica.

Stare in un ufficio non esegue da solo nessuna di queste fasi. Anche una videochiamata non ne esegue da sola nessuna, per questo un processo da remoto non è automaticamente più debole e uno in sede non è automaticamente completo.

La garanzia è portata da operatori formati, dalla gestione delle prove e dai controlli tecnici, e la sede limita solo il modo in cui possono essere applicati. Una scrivania in un ufficio con un operatore non formato non è un processo solido.

Chiedete l’alternativa approvata

Se il viaggio è davvero poco pratico, chiedete al proprietario designato se esiste già un metodo da remoto o di recupero approvato. Non negoziate un’eccezione con un singolo amministratore, perché questo produce una credenziale che nessuno può verificare e un precedente che nessuno ha accettato. Il percorso approvato è di solito documentato, anche quando nessuno l’ha richiesto di recente.

Dove è richiesto un passaggio in sede, accertate esattamente quale fase soddisfa. Una visita che verifica prove è un requisito diverso da una che assiste a una firma, e le due hanno alternative diverse.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Mantenete esplicite le fasi successive

La verifica non è la fine del processo. L’approvazione dell’accesso, il collegamento della credenziale e la consegna hanno ciascuno bisogno del proprio registro, e l’ambito del dispositivo e della risorsa previsti va scritto anziché presunto.

Preservate anche il percorso di recupero autorizzato, perché un utente che non può recuperare ne troverà uno informale. Trattate qualsiasi credenziale esposta tramite il suo effettivo processo di rimozione. Una visita completata o un cambio di password non revoca da solo le altre sessioni attive, ed è in questo varco che la maggior parte degli incidenti continua.

La domanda da riportare al proprietario è quindi stretta: quale decisione richiede una garanzia di persona e qual è il percorso approvato per raggiungere la stessa garanzia quando il viaggio è impossibile. A questa domanda si può rispondere, a un reclamo sul viaggio no.