Hvorfor VPN-påmelding ber deg møte opp på kontoret

Å bli bedt om å møte personlig opp for en VPN-konto føles som en teknisk begrensning, og det er slett ikke tilfellet. Tunnelprotokollen har ingen mening om hvor du står. Det besøket implementerer, er en beslutning om identitet: noen i organisasjonen må være overbevist om at personen som mottar legitimasjonen, er personen i registeret. Å forstå hvilken beslutning som trenger den forsikringen, er det som gjør en diskusjon om reisen til et løsbart problem.

Tre forespørsler som ser like ut

En ny ansatt trenger å få identiteten sin fastslått, kvalifikasjonene bekreftet og tilgangen godkjent, og ingen av disse følger av en sertifikatforespørsel eller et vist navn i en e-post. En eksisterende bruker som bytter passord, trenger en godkjent måte å autentisere endringen på, som er et helt annet spørsmål. Noen som har mistet alle godkjente autentiseringsfaktorer, trenger gjenoppretting, og det er den farligste av de tre, fordi den som spør, kan være en bedrager som prøver å erstatte bevisene som normalt ville stoppet dem.

Disse sakene bør ikke som standard dele én uformell prosedyre. Å ha et ansattnummer eller tilgang til en ubekreftet postkasse er ikke en erstatning for kontrollen organisasjonen har valgt.

Hva et besøk beviser, og hva det ikke beviser

Identitetsbevis er en prosess med faser snarere enn et sted. Veiledninger som NISTs veiledning om identitetsbevis skiller mellom å avklare en identitet, validere bevisene bak den og verifisere at søkeren er personen disse bevisene beskriver. Hver fase kan være med eller uten oppmøte, eksternt eller på stedet, og forsikringen avhenger av hvordan alle gjennomføres. Å hoppe over en fase er en beslutning om risiko, ikke en snarvei gjennom papirarbeid.

Å stå på et kontor utfører ikke noen av disse fasene i seg selv. En videosamtale utfører heller ikke noen av dem i seg selv, og derfor er en ekstern prosess ikke automatisk svakere, og en prosess på stedet er ikke automatisk komplett.

Opplærte operatører, håndtering av bevis og tekniske kontroller bærer forsikringen, og plasseringen begrenser bare hvordan de kan brukes. En skrivebordsplass på et kontor med en uopplært operatør er ikke en sterk prosess.

Be om det godkjente alternativet

Hvis reisen er virkelig upraktisk, finn ut fra den utpekte eieren om det allerede finnes en godkjent fjernmetode eller gjenopprettingsmetode. Ikke forhandle om et unntak med en individuell administrator, fordi det gir legitimasjon som ingen kan revidere, og en presedens ingen har akseptert. Den godkjente veien er vanligvis dokumentert, selv når ingen har bedt om den nylig.

Der et trinn på stedet kreves, må du finne ut nøyaktig hvilken fase det oppfyller. Et besøk som verifiserer bevis, er et annet krav enn et som bevitner en signatur, og de to har forskjellige alternativer.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Hold de senere fasene eksplisitte

Verifisering er ikke slutten på prosessen. Tilgangsgodkjenning, binding av legitimasjon og levering trenger hver sin registrering, og omfanget av den tiltenkte enheten og ressursen bør skrives ned i stedet for å antas.

Bevar også den autoriserte gjenopprettingsveien, fordi en bruker som ikke kan gjenopprette, vil finne en uformell. Håndter all eksponert legitimasjon gjennom dens faktiske fjerningsprosess. Et fullført besøk eller et passordbytte tilbakekaller ikke andre aktive økter i seg selv, og det er i dette gapet de fleste hendelser fortsetter.

Spørsmålet som skal bringes tilbake til eieren, er derfor smalt: hvilken beslutning trenger personlig forsikring, og hva er den godkjente måten å oppnå samme forsikring på når reisen er umulig. Det spørsmålet kan besvares, og en klage over reisen kan ikke.