Kāpēc VPN reģistrācija lūdz jūs apmeklēt biroju

Prasība personīgi ierasties VPN konta dēļ šķiet tehnisks ierobežojums, un tas nemaz tā nav. Tunelēšanas protokolam nav viedokļa par to, kur jūs stāvat. Apmeklējums īsteno lēmumu par identitāti: kādam organizācijā ir jāpārliecinās, ka persona, kas saņem akreditācijas datus, ir reģistrā esošā persona. Izpratne par to, kuram lēmumam nepieciešama šī pārliecība, pārvērš strīdu par braucienu atrisināmā problēmā.

Trīs pieprasījumi, kas izskatās līdzīgi

Jaunam darbiniekam ir jānosaka identitāte, jāapstiprina tiesības un jāapstiprina piekļuve, un neviens no tiem neizriet no sertifikāta pieprasījuma vai e-pastā parādītā vārda. Esošam lietotājam, kurš maina paroli, nepieciešams apstiprināts veids, kā autentificēt izmaiņas, un tas atkal ir cits jautājums. Tam, kurš zaudējis visus pieņemtos autentifikācijas līdzekļus, nepieciešama atjaunošana, un tas ir bīstamākais no trim, jo pieprasītājs var būt krāpnieks, kurš mēģina aizstāt pierādījumus, kas viņu parasti apturētu.

Šiem gadījumiem pēc noklusējuma nevajadzētu dalīt vienu neformālu procedūru. Darbinieka numura turēšana vai piekļuve neapstiprinātai pastkastei neaizstāj organizācijas izvēlēto pārbaudi.

Ko apmeklējums pierāda un ko ne

Identitātes pierādīšana ir process ar posmiem, nevis vieta. Vadlīnijas, piemēram, NIST identitātes pierādīšanas vadlīnijas, atdala identitātes noteikšanu, tai pamatā esošo pierādījumu validēšanu un pārbaudi, vai pretendents ir persona, ko šie pierādījumi raksturo. Katrs posms var būt ar klātbūtni vai bez tās, attālināti vai uz vietas, un pārliecība ir atkarīga no tā, kā tiek veikti visi. Posma izlaišana ir lēmums par risku, nevis papīru darba saīsinājums.

Stāvēšana birojā pati par sevi neveic nevienu no šiem posmiem. Arī videozvans pats par sevi neveic nevienu no tiem, tāpēc attālināts process nav automātiski vājāks un process uz vietas nav automātiski pilnīgs.

Pārliecību nes apmācīti operatori, pierādījumu apstrāde un tehniskās kontroles, un atrašanās vieta tikai ierobežo to, kā tās var piemērot. Galds birojā ar neapmācītu operatoru nav spēcīgs process.

Lūdziet apstiprināto alternatīvu

Ja brauciens patiešām ir nepraktisks, pajautājiet norīkotajam īpašniekam, vai jau pastāv apstiprināta attālinātā vai atjaunošanas metode. Nepārrunājiet izņēmumu ar atsevišķu administratoru, jo tas rada akreditācijas datus, ko neviens nevar auditēt, un precedentu, kuram neviens nav piekritis. Apstiprinātais ceļš parasti ir dokumentēts, pat ja neviens to nesen nav pieprasījis.

Ja nepieciešams solis uz vietas, noskaidrojiet precīzi, kuru posmu tas apmierina. Apmeklējums, kas pārbauda pierādījumus, ir cita prasība nekā tas, kas liecina par parakstu, un abiem ir atšķirīgas alternatīvas.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Saglabājiet vēlākos posmus skaidrus

Pārbaude nav procesa beigas. Piekļuves apstiprināšanai, akreditācijas datu piesaistei un piegādei katram nepieciešams savs ieraksts, un paredzētās ierīces un resursa apjoms ir jāpieraksta, nevis jāpieņem.

Saglabājiet arī atļauto atjaunošanas ceļu, jo lietotājs, kurš nevar atjaunot, atradīs neformālu. Ar jebkuriem atklātiem akreditācijas datiem rīkojieties to faktiskās noņemšanas procesā. Pabeigts apmeklējums vai paroles maiņa pati par sevi neatceļ citas aktīvās sesijas, un tieši šajā robā turpinās lielākā daļa incidentu.

Jautājums, kas jāatgriež īpašniekam, tāpēc ir šaurs: kuram lēmumam nepieciešama personiska pārliecība un kāds ir apstiprinātais veids, kā sasniegt to pašu pārliecību, ja brauciens nav iespējams. Uz šo jautājumu var atbildēt, uz sūdzību par braucienu ne.