რატომ ითხოვს VPN-ის რეგისტრაცია ოფისში ვიზიტს

VPN ანგარიშისთვის პირადად გამოცხადების მოთხოვნა ტექნიკურ შეზღუდვად გვეჩვენება, მაგრამ სულაც არ არის ასე. გვირაბის პროტოკოლს არ აქვს აზრი იმაზე, თუ სად დგახართ. ვიზიტი ახორციელებს გადაწყვეტილებას იდენტობაზე: ვიღაცამ ორგანიზაციაში უნდა დარწმუნდეს, რომ სერტიფიკატის მიმღები ადამიანი რეესტრში მყოფი პირია. იმის გაგება, რომელ გადაწყვეტილებას სჭირდება ეს დარწმუნება, მოგზაურობის შესახებ კამათს ხსნად პრობლემად აქცევს.

სამი მოთხოვნა, რომლებიც ერთნაირად გამოიყურება

ახალ თანამშრომელს სჭირდება იდენტობის დადგენა, უფლების დადასტურება და წვდომის დამტკიცება, და არცერთი მათგანი არ გამომდინარეობს სერტიფიკატის მოთხოვნიდან ან ელფოსტაში ნაჩვენები სახელიდან. პაროლის შემცვლელ არსებულ მომხმარებელს სჭირდება ცვლილების ავთენტიფიკაციის დამტკიცებული გზა, რაც ისევ სხვა საკითხია. ვინც ყველა მიღებული ავთენტიფიკატორი დაკარგა, აღდგენას საჭიროებს, და ეს სამიდან ყველაზე საშიშია, რადგან მთხოვნელი შეიძლება იყოს თაღლითი, რომელიც ცდილობს ჩაანაცვლოს ის მტკიცებულებები, რომლებიც ჩვეულებრივ შეაჩერებდა მას.

ამ შემთხვევებმა ნაგულისხმევად არ უნდა გაიზიაროს ერთი არაფორმალური პროცედურა. თანამშრომლის ნომრის ქონა ან დაუდასტურებელ საფოსტო ყუთზე წვდომა არ ცვლის ორგანიზაციის მიერ არჩეულ შემოწმებას.

რას ამტკიცებს ვიზიტი და რას არა

იდენტობის დამტკიცება ეტაპებიანი პროცესია და არა ადგილი. ისეთი სახელმძღვანელოები, როგორიცაა NIST-ის იდენტობის დამტკიცების სახელმძღვანელო, გამოყოფენ იდენტობის გადაწყვეტას, მის უკან არსებული მტკიცებულებების ვალიდაციას და იმის შემოწმებას, რომ განმცხადებელი ის პირია, რომელსაც ეს მტკიცებულებები აღწერს. თითოეული ეტაპი შეიძლება იყოს დასწრებით ან მის გარეშე, დისტანციურად ან ადგილზე, და დარწმუნება დამოკიდებულია იმაზე, თუ როგორ შესრულდება ყველა მათგანი. ეტაპის გამოტოვება რისკის შესახებ გადაწყვეტილებაა და არა ქაღალდებში გავლილი მოკლე გზა.

ოფისში დგომა თავისთავად არ ასრულებს ამ ეტაპებიდან არცერთს. ვიდეოზარი ასევე თავისთავად არ ასრულებს არცერთ მათგანს, ამიტომ დისტანციური პროცესი ავტომატურად არ არის უფრო სუსტი და ადგილზე მყოფი ავტომატურად არ არის სრული.

დარწმუნებას ატარებენ გაწვრთნილი ოპერატორები, მტკიცებულებებთან მუშაობა და ტექნიკური კონტროლი, ხოლო ადგილმდებარეობა მხოლოდ ზღუდავს, თუ როგორ შეიძლება მათი გამოყენება. ოფისში მაგიდა გაუწვრთნელი ოპერატორით ძლიერი პროცესი არ არის.

მოითხოვეთ დამტკიცებული ალტერნატივა

თუ მოგზაურობა ნამდვილად არაპრაქტიკულია, ჰკითხეთ დანიშნულ მფლობელს, უკვე არსებობს თუ არა დამტკიცებული დისტანციური ან აღდგენის მეთოდი. ნუ მოილაპარაკებთ გამონაკლისზე ცალკეულ ადმინისტრატორთან, რადგან ეს ქმნის სერტიფიკატს, რომლის აუდიტიც ვერავინ შეძლებს, და პრეცედენტს, რომელზეც არავინ შეთანხმდა. დამტკიცებული გზა ჩვეულებრივ დოკუმენტირებულია, მაშინაც კი, როცა ცოტა ხნის წინ არავის მოუთხოვია ის.

სადაც ადგილზე ნაბიჯია საჭირო, ზუსტად გაარკვიეთ, რომელ ეტაპს აკმაყოფილებს ის. მტკიცებულებების შემოწმების ვიზიტი სხვა მოთხოვნაა, ვიდრე ხელმოწერის მოწმე ვიზიტი, და ორივეს განსხვავებული ალტერნატივები აქვს.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

შემდგომი ეტაპები ცხადად შეინახეთ

შემოწმება პროცესის დასასრული არ არის. წვდომის დამტკიცებას, სერტიფიკატის მიბმას და მიწოდებას თითოეულს თავისი ჩანაწერი სჭირდება, და განზრახული მოწყობილობისა და რესურსის მოცულობა უნდა ჩაიწეროს და არა ვარაუდობდეს.

შეინარჩუნეთ უფლებამოსილი აღდგენის გზაც, რადგან მომხმარებელი, რომელიც ვერ აღადგენს, არაფორმალურს იპოვის. ნებისმიერ გამჟღავნებულ სერტიფიკატს მოეპყარით მისი რეალური წაშლის პროცესით. დასრულებული ვიზიტი ან პაროლის შეცვლა თავისთავად არ აუქმებს სხვა აქტიურ სესიებს, და სწორედ ამ ხარვეზში გრძელდება ინციდენტების უმეტესობა.

მფლობელთან დასაბრუნებელი კითხვა ამიტომ ვიწროა: რომელ გადაწყვეტილებას სჭირდება პირადი დარწმუნება და რა არის დამტკიცებული გზა იმავე დარწმუნების მისაღწევად, როცა მოგზაურობა შეუძლებელია. ამ კითხვას პასუხი გაეცემა, მოგზაურობის შესახებ ჩივილს კი არა.