Vai iPad nepieciešams savs VPN klienta sertifikāts?

Jauns iPad pievienojas komandai, un ātrākais ceļš ir eksportēt esošo klienta sertifikātu un instalēt to planšetdatorā. Tas darbojas, līdz kāds aiziet, pazaudē ierīci vai pieprasa auditu, kas parāda, kura ierīce un kad savienojās. Lēmums nav par sertifikāta failu, bet par identitāti: vai katru ierīci var atsevišķi autorizēt un atsaukt. Izmaksas un pārvaldības darbs nosaka atbildi, un abi ir mazāki, nekā šķiet.

Kopīgs izdevējs, atsevišķas identitātes

Katra ierīce var uzticēties vienai un tai pašai sertifikācijas iestādei un savienoties ar to pašu vārteju, vienlaikus turēdama citu klienta identitāti. Izdevējs ir uzticības enkurs, bet identitāte ir atslēgu pāris, kura subjektu serveris atbilst politikas noteikumiem. Tieši šo divu sajaukšana liek kopīgam sertifikātam šķist nekaitīgam. Tas paliek nekaitīgs tikai līdz brīdim, kad kādam jāzina, kura ierīce atvēra sesiju.

Izdevēja kopīgošana ietaupa konfigurācijas darbu un neko nemaina atbildībā par katru ierīci. Identitātes kopīgošana sablīvē katru ierīci vienā atsaucamā vienībā: atsaucot vienu, atsauc visas, un aizstājēja autorizēšana autorizē katru jebkad izveidoto atslēgas kopiju. Šo maiņu ir vērts veikt skaidri, nevis kopējot failu tāpēc, ka piektdienas pēcpusdienā tā ir ātrāk.

Kad otrs sertifikāts maksā pārāk dārgi

Reģistrācija katrai ierīcei maksā vienu soli: pārvaldītu profilu, SCEP pieprasījumu vai vadītu importu ar vienreizēju paroli. Tai arī vajadzīga vieta sērijas numuru un derīguma termiņu izsekošanai, un tas ir tas, ko lielākā daļa ieviešanu aizmirst, līdz pirmais sertifikāts beidzas. Abas izmaksas ir vienreizējas, un abas sarūk, tiklīdz reģistrācijas plūsma tās automatizē.

Izmaksas ir reālas mājsaimniecībai ar divām planšetdatoriem un vienu lietotāju, kur kopīga identitāte ir saprātīgs lēmums, dokumentēts vienā teikumā. Tas nav saprātīgi pakalpojumam, kur piekļuve jāatsauc par personu vai par ierīci, jo atsaukšanas vēsture ir viss iemesls izmantot sertifikātus paroles vietā. Vērtējiet ieviešanu pēc tā, cik bieži ierīces maina īpašnieku, nevis pēc tā, cik ierīču ir šodien.

Reģistrējiet ierīci, nekopējiet atslēgu

Mūsdienu platformas glabā privātās atslēgas aizsargātā krātuvē, un dažas tās pēc dizaina atzīmē kā neeksportējamas. Tieši šī īpašība padara kopēšanu sākotnēji neiespējamu, un tā ir arī iemesls, kāpēc no klēpjdatora eksportētu pakotni nevar vienkārši atkārtoti importēt planšetdatorā nevienā atbalstītā veidā. Mēģinājums tomēr rada profilu, kas tiek tīri instalēts un pēc tam nekad neveic autentifikāciju.

Izmantojiet reģistrācijas metodi, ko ieviešana jau atbalsta: pārvaldītu identitātes profilu, SCEP pakalpojumu vai uz kontu balstītu plūsmu, kas ierīcē izdod jaunu atslēgu. Sertifikācijas iestādes privātās atslēgas izplatīšana trūkstošas identitātes risināšanai ir cita kļūda ar daudz lielāku ietekmes rādiusu. Iestāde izdod akreditācijas datus un nekad nedrīkstētu ceļot uz galapunktu.

Pārbaudiet atsaukšanu pirms atbildes

Pirms izvēlaties kopīgo variantu, aprakstiet, kā atsaukšana izskatās sliktākajā dienā. Ja atbilde ir viena darbība, kas skar vairākas ierīces, dizains jau ir izlēmis pret jums.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Pārbaudiet materiālu, kas jums tiešām ir: vai ir privātā atslēga, ko saka subjekts un vai sērijas numuru var atsaukt atsevišķi. Sertifikāta fails bez savas atslēgas nevar neko autentificēt, un tāpēc dažas nokopētas identitātes neizdodas pirmajā savienojumā.

Lietotnes dzēšana no planšetdatora nav atsaukšana, un serveris turpina pieņemt identitāti, līdz kāds to atspējo. Ierakstiet šo teikumu procedūru grāmatā pirms pirmās ierīces reģistrācijas.