VPN 등록이 사무실 방문을 요구하는 이유

VPN 계정 때문에 직접 방문하라는 요청은 기술적 제한처럼 느껴지지만 전혀 그렇지 않습니다. 터널 프로토콜은 귀하가 어디에 서 있는지에 대해 아무 의견이 없습니다. 방문이 구현하는 것은 신원에 대한 결정입니다: 조직의 누군가는 자격 증명을 받는 사람이 기록상의 사람임을 확신해야 합니다. 어떤 결정에 그 보증이 필요한지 이해하는 것이 여행에 대한 논쟁을 해결 가능한 문제로 바꿉니다.

비슷해 보이는 세 가지 요청

신입 직원은 신원이 확립되고 자격이 확인되며 접근이 승인되어야 하는데, 그중 어느 것도 인증서 요청이나 이메일에 표시된 이름에서 나오지 않습니다. 비밀번호를 변경하는 기존 사용자는 변경을 인증할 승인된 방법이 필요하며, 이는 또 다른 질문입니다. 허용된 모든 인증 수단을 잃은 사람은 복구가 필요하며, 이는 요청하는 사람이 평소라면 막았을 증거를 바꾸려는 사기꾼일 수 있기 때문에 세 가지 중 가장 위험합니다.

이러한 사례는 기본적으로 하나의 비공식 절차를 공유해서는 안 됩니다. 사원 번호를 보유하거나 확인되지 않은 사서함에 접근하는 것은 조직이 선택한 확인을 대체하지 않습니다.

방문이 증명하는 것과 증명하지 않는 것

신원 증명은 장소가 아니라 단계가 있는 과정입니다. NIST의 신원 증명 지침과 같은 지침은 신원 확인, 그 배후 증거의 검증, 그리고 신청자가 그 증거가 설명하는 사람인지 확인하는 것을 분리합니다. 각 단계는 참석 여부, 원격 또는 현장 여부와 무관할 수 있으며, 보증은 모든 단계가 어떻게 수행되는지에 달려 있습니다. 단계를 건너뛰는 것은 위험에 대한 결정이지 서류 작업을 통한 지름길이 아닙니다.

사무실에 서 있는 것 자체는 그 단계 중 어느 것도 수행하지 않습니다. 화상 통화도 그 자체로 어느 것도 수행하지 않으므로, 원격 프로세스가 자동으로 더 약한 것도 아니고 현장 프로세스가 자동으로 완전한 것도 아닙니다.

보증은 훈련된 운영자, 증거 처리, 기술적 통제가 담당하며, 위치는 그것들을 어떻게 적용할 수 있는지만 제한합니다. 훈련받지 않은 운영자가 있는 사무실 책상은 강한 프로세스가 아닙니다.

승인된 대안을 요청하십시오

여행이 정말로 비현실적이라면, 지정된 소유자에게 승인된 원격 또는 복구 방법이 이미 있는지 물어보십시오. 개별 관리자와 예외를 협상하는 것은 아무도 감사할 수 없는 자격 증명과 아무도 동의하지 않은 선례를 만들 뿐이므로 피하십시오. 승인된 경로는 최근에 아무도 요청하지 않았더라도 보통 문서화되어 있습니다.

현장 단계가 필요한 경우, 그것이 정확히 어느 단계를 충족하는지 확인하십시오. 증거를 검증하는 방문은 서명을 입회하는 방문과 다른 요구 사항이며, 둘은 서로 다른 대안을 가집니다.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

이후 단계를 명시적으로 유지하십시오

검증은 과정의 끝이 아닙니다. 접근 승인, 자격 증명 연결, 전달은 각각 자체 기록이 필요하며, 의도된 장치와 리소스의 범위는 가정하지 말고 적어야 합니다.

복구할 수 없는 사용자는 비공식 경로를 찾게 되므로 승인된 복구 경로도 유지하십시오. 노출된 자격 증명은 실제 제거 절차를 통해 처리하십시오. 완료된 방문이나 비밀번호 변경은 그 자체로 다른 활성 세션을 취소하지 않으며, 대부분의 사고가 계속되는 곳이 바로 이 틈입니다.

따라서 소유자에게 되가져갈 질문은 좁습니다: 어떤 결정에 대면 보증이 필요한지, 여행이 불가능할 때 같은 보증에 도달하는 승인된 방법은 무엇인지입니다. 그 질문에는 답할 수 있지만 여행에 대한 불평에는 답할 수 없습니다.