Kodėl VPN registracija prašo atvykti į biurą

Prašymas asmeniškai atvykti dėl VPN paskyros atrodo kaip techninis apribojimas, tačiau tai visai ne taip. Tunelio protokolas neturi nuomonės apie tai, kur stovite. Apsilankymas įgyvendina sprendimą dėl tapatybės: kažkas organizacijoje turi įsitikinti, kad asmuo, gaunantis kredencialus, yra tas pats asmuo, įrašytas registre. Supratimas, kuriam sprendimui reikia šio užtikrinimo, paverčia ginčą dėl kelionės išsprendžiama problema.

Trys prašymai, kurie atrodo vienodai

Naujam darbuotojui reikia nustatyti tapatybę, patvirtinti teisę ir patvirtinti prieigą, ir nė vienas iš jų neišplaukia iš sertifikato prašymo ar rodomo vardo elektroniniame laiške. Esamam naudotojui, keičiančiam slaptažodį, reikia patvirtinto būdo autentifikuoti pakeitimą, o tai jau kitas klausimas. Tas, kuris prarado visas priimtas autentifikavimo priemones, turi atkūrimo poreikį, ir tai yra pavojingiausia iš trijų, nes prašantis asmuo gali būti apgavikas, bandantis pakeisti įrodymus, kurie paprastai jį sustabdytų.

Šie atvejai neturėtų pagal nutylėjimą dalytis viena neformalia procedūra. Darbuotojo numerio turėjimas ar prieiga prie nepatvirtintos pašto dėžutės nepakeičia organizacijos pasirinktos patikros.

Ką apsilankymas įrodo, o ko ne

Tapatybės įrodymas yra procesas su etapais, o ne vieta. Gairės, tokios kaip NIST tapatybės įrodymo gairės, atskiria tapatybės nustatymą, už jos esančių įrodymų patvirtinimą ir patikrinimą, ar pareiškėjas yra asmuo, kurį tie įrodymai apibūdina. Kiekvienas etapas gali būti su dalyvavimu ar be jo, nuotoliniu būdu ar vietoje, o užtikrinimas priklauso nuo to, kaip visi jie atliekami. Etapo praleidimas yra sprendimas dėl rizikos, o ne popierizmo trumpinys.

Stovėjimas biure pats savaime neatlieka nė vieno iš šių etapų. Vaizdo skambutis taip pat pats savaime neatlieka nė vieno jų, todėl nuotolinis procesas nėra automatiškai silpnesnis, o procesas vietoje nėra automatiškai išsamus.

Užtikrinimą neša apmokyti operatoriai, įrodymų tvarkymas ir techninės kontrolės priemonės, o vieta tik riboja, kaip jas galima taikyti. Rašomasis stalas biure su neapmokytu operatoriumi nėra stiprus procesas.

Prašykite patvirtintos alternatyvos

Jei kelionė tikrai nepraktiška, pasiteiraukite paskirto savininko, ar jau yra patvirtintas nuotolinis ar atkūrimo metodas. Nesiderėkite dėl išimties su atskiru administratoriumi, nes tai sukuria kredencialus, kurių niekas negali audituoti, ir precedentą, su kuriuo niekas nesutiko. Patvirtintas kelias paprastai dokumentuojamas, net kai niekas neseniai jo neprašė.

Kai reikia vietoje atliekamo veiksmo, tiksliai išsiaiškinkite, kurį etapą jis tenkina. Apsilankymas, kuris tikrina įrodymus, yra kitoks reikalavimas nei tas, kuris liudija parašą, ir abu turi skirtingas alternatyvas.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Išlaikykite vėlesnius etapus aiškius

Patikrinimas nėra proceso pabaiga. Prieigos patvirtinimas, kredencialų susiejimas ir pristatymas kiekvienas reikalauja savo įrašo, o numatomo įrenginio ir ištekliaus apimtis turėtų būti užrašyta, o ne numanoma.

Išsaugokite ir patvirtintą atkūrimo kelią, nes naudotojas, kuris negali atkurti, ras neformalų. Su bet kokiais atskleistais kredencialais elkitės pagal jų faktinį pašalinimo procesą. Užbaigtas apsilankymas ar slaptažodžio pakeitimas pats savaime neatšaukia kitų aktyvių sesijų, ir būtent šioje spragoje dauguma incidentų tęsiasi.

Klausimas, kurį reikia grąžinti savininkui, todėl siauras: kuriam sprendimui reikia asmeninio užtikrinimo ir koks yra patvirtintas būdas pasiekti tą patį užtikrinimą, kai kelionė neįmanoma. Į šį klausimą galima atsakyti, o į skundą dėl kelionės ne.