Зошто регистрацијата на VPN бара да ја посетите канцеларијата

Барањето лично да се појавите за VPN сметка изгледа како техничко ограничување, а тоа воопшто не е така. Протоколот на тунелот нема мислење за тоа каде стоите. Посетата спроведува одлука за идентитетот: некој во организацијата мора да биде уверен дека лицето што ги прима пристапните податоци е лицето во регистарот. Разбирањето која одлука бара таква сигурност е она што ја претвора расправата за патувањето во решлив проблем.

Три барања што изгледаат исто

Нов вработен треба да му се утврди идентитетот, да му се потврди правото и да му се одобри пристапот, и ниту едно од тоа не произлегува од барање за сертификат или прикажано име во е-пошта. Постоечкиот корисник што менува лозинка бара одобрен начин да ја автентицира промената, што е повторно друго прашање. Оној што ги изгубил сите прифатени автентикатори бара обновување, и тоа е најопасното од трите, бидејќи лицето што бара може да биде измамник што се обидува да ги замени доказите што вообичаено би го запреле.

Овие случаи не треба стандардно да делат една неформална постапка. Поседувањето број на вработен или пристап до непотврдено сандаче не е замена за проверката што ја избрала организацијата.

Што докажува посетата, а што не

Докажувањето идентитет е процес со фази, а не место. Упатствата како упатствата на NIST за докажување идентитет ги одделуваат решавањето на идентитетот, валидацијата на доказите зад него и проверката дека барателот е лицето што тие докази го опишуваат. Секоја фаза може да биде со или без присуство, оддалечено или на лице место, а сигурноста зависи од тоа како се изведуваат сите. Прескокнувањето фаза е одлука за ризикот, а не кратенка низ администрацијата.

Стоењето во канцеларија само по себе не извршува ниту една од тие фази. Видео повикот исто така сам по себе не извршува ниту една од нив, затоа оддалечениот процес не е автоматски послаб, а процесот на лице место не е автоматски целосен.

Сигурноста ја носат обучени оператори, ракување со докази и технички контроли, а локацијата само го ограничува начинот на кој тие можат да се применат. Биро во канцеларија со необучен оператор не е силен процес.

Побарајте ја одобрената алтернатива

Ако патувањето е навистина непрактично, прашајте го назначениот сопственик дали веќе постои одобрен оддалечен или метод за обновување. Не преговарајте за исклучок со поединечен администратор, бидејќи тоа создава пристапни податоци што никој не може да ги ревидира и преседан со кој никој не се согласил. Одобрениот пат обично е документиран, дури и кога никој не го побарал неодамна.

Каде што е потребен чекор на лице место, дознајте точно која фаза ја задоволува. Посета што проверува докази е различно барање од онаа што сведочи за потпис, и двете имаат различни алтернативи.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Држете ги подоцнежните фази експлицитни

Проверката не е крајот на процесот. Одобрувањето пристап, врзувањето на пристапните податоци и испораката секое бара свој запис, а опфатот на предвидениот уред и ресурс треба да се запише, а не да се претпостави.

Зачувајте го и одобрениот пат за обновување, бидејќи корисникот што не може да се обнови ќе најде неформален. Постапувајте со секои изложени пристапни податоци преку нивниот вистински процес на отстранување. Завршената посета или промената на лозинка сама по себе не ги отповикува другите активни сесии, и токму во таа празнина продолжуваат повеќето инциденти.

Прашањето што треба да се врати кај сопственикот затоа е тесно: која одлука бара лична сигурност и кој е одобрениот начин да се постигне истата сигурност кога патувањето е невозможно. На ова прашање може да се одговори, а на жалба за патувањето не.