Ar iPadui reikia atskiro VPN kliento sertifikato?

Naujas iPad prisijungia prie komandos, o greičiausias kelias yra eksportuoti esamą kliento sertifikatą ir įdiegti jį planšetiniame kompiuteryje. Tai veikia tol, kol kas nors išeina, pameta įrenginį arba paprašo audito, kuris pasakytų, kuris įrenginys ir kada prisijungė. Sprendimas ne apie sertifikato failą, o apie tapatybę: ar kiekvieną įrenginį galima atskirai įgalioti ir atšaukti. Kaina ir valdymo pastangos lemia atsakymą, ir abi yra mažesnės, nei atrodo.

Bendras išdavėjas, atskiros tapatybės

Kiekvienas įrenginys gali pasitikėti ta pačia sertifikatų institucija ir jungtis prie to paties šliuzo, turėdamas skirtingą kliento tapatybę. Išdavėjas yra pasitikėjimo inkaras, o tapatybė yra raktų pora, kurios subjektą serveris priskiria politikai. Būtent šių dviejų supainiojimas leidžia bendram sertifikatui atrodyti nekenksmingam. Jis lieka nekenksmingas tik tol, kol kam nors reikia žinoti, kuris įrenginys atidarė sesiją.

Bendras išdavėjas taupo konfigūravimo darbą ir nieko nekeičia atskaitomybėje pagal įrenginį. Bendra tapatybė sujungia visus įrenginius į vieną atšaukiamą vienetą: atšaukus vieną atšaukiami visi, o pakaitalo įgaliojimas įgalioja kiekvieną kada nors padarytą rakto kopiją. Šį mainą verta atlikti aiškiai, o ne kopijuojant failą todėl, kad penktadienio popietę taip greičiau.

Kai antras sertifikatas kainuoja per daug

Registracija pagal įrenginį kainuoja vieną žingsnį: valdomą profilį, SCEP užklausą arba vadovaujamą importą su vienkartiniu slaptažodžiu. Jai taip pat reikia vietos serijos numeriams ir galiojimo datoms sekti, o tai dalis, kurią dauguma diegimų pamiršta, kol baigiasi pirmasis sertifikatas. Abi išlaidos yra vienkartinės, ir abi mažėja, kai registracijos eiga jas automatizuoja.

Kaina reali namų ūkiui su dviem planšetiniais kompiuteriais ir vienu naudotoju, kur bendra tapatybė yra pagrįstas sprendimas, dokumentuotas vienu sakiniu. Ji nepagrįsta paslaugai, kurioje prieiga turi būti atimta pagal asmenį arba pagal įrenginį, nes atšaukimo istorija yra visa priežastis naudoti sertifikatus vietoj slaptažodžio. Vertinkite diegimą pagal tai, kaip dažnai įrenginiai keičia savininką, o ne pagal tai, kiek įrenginių yra šiandien.

Registruokite įrenginį, nekopijuokite rakto

Šiuolaikinės platformos laiko privačius raktus apsaugotoje saugykloje, o kai kurios juos žymi kaip neeksportuojamus pagal dizainą. Būtent ši savybė padaro kopijavimą iš pradžių neįmanomą, ir ji taip pat yra priežastis, kodėl iš nešiojamojo kompiuterio eksportuoto paketo negalima paprasčiausiai iš naujo importuoti į planšetinį kompiuterį jokiu palaikomu būdu. Bandymas vis tiek sukuria profilį, kuris įdiegiamas švariai ir paskui niekada neatlieka autentifikacijos.

Naudokite registracijos metodą, kurį diegimas jau palaiko: valdomą tapatybės profilį, SCEP paslaugą arba paskyra pagrįstą eigą, kuri išduoda naują raktą įrenginyje. Sertifikatų institucijos privataus rakto platinimas trūkstamai tapatybei spręsti yra kita klaida, kurios poveikio spindulys daug didesnis. Institucija išduoda prisijungimo duomenis ir niekada neturėtų keliauti į galinį tašką.

Patikrinkite atšaukimą prieš atsakydami

Prieš rinkdamiesi bendrą variantą, aprašykite, kaip atšaukimas atrodo blogiausią dieną. Jei atsakymas yra vienas veiksmas, paliečiantis kelis įrenginius, dizainas jau nusprendė prieš jus.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Išnagrinėkite medžiagą, kurią iš tikrųjų turite: ar yra privatus raktas, ką sako subjektas ir ar serijos numerį galima atšaukti atskirai. Sertifikato failas be savo rakto negali nieko autentifikuoti, todėl kai kurios nukopijuotos tapatybės nepavyksta pirmojo prisijungimo metu.

Programėlės ištrynimas iš planšetinio kompiuterio nėra atšaukimas, ir serveris toliau priima tapatybę, kol kas nors ją išjungia. Įrašykite tą sakinį į procedūrų knygą prieš registruojant pirmąjį įrenginį.