Heeft een iPad zijn eigen VPN-clientcertificaat nodig?

Een nieuwe iPad komt bij het team, en de snelste weg is het bestaande clientcertificaat exporteren en op de tablet installeren. Dat werkt tot iemand vertrekt, een apparaat verliest of om een audit vraagt die laat zien welk apparaat wanneer verbond. De beslissing gaat niet over het certificaatbestand maar over identiteit: of elk apparaat afzonderlijk kan worden geautoriseerd en ingetrokken. Kosten en beheerinspanning bepalen het antwoord, en beide zijn kleiner dan ze lijken.

Gedeelde uitgever, gescheiden identiteiten

Elk apparaat kan dezelfde certificaatautoriteit vertrouwen en met dezelfde gateway verbinden terwijl het een andere clientidentiteit heeft. De uitgever is een vertrouwensanker, terwijl de identiteit een sleutelpaar is waarvan de server het subject aan een beleid koppelt. Juist het verwarren van die twee maakt een gedeeld certificaat onschuldig lijken. Het blijft alleen onschuldig tot iemand moet weten welk apparaat een sessie opende.

De uitgever delen bespaart configuratiewerk en verandert niets aan de verantwoording per apparaat. De identiteit delen vouwt elk apparaat samen tot één intrekbare eenheid: één intrekken trekt alles in, en een vervanging autoriseren autoriseert elke ooit gemaakte kopie van de sleutel. Die ruil is het waard om expliciet te maken in plaats van een bestand te kopiëren omdat het op vrijdagmiddag sneller gaat.

Wanneer een tweede certificaat te duur is

Inschrijving per apparaat kost een stap: een beheerd profiel, een SCEP-aanvraag of een begeleide import met een eenmalig wachtwoord. Het kost ook een plek om serienummers en vervaldatums bij te houden, het deel dat de meeste implementaties vergeten tot het eerste certificaat verloopt. Beide kosten zijn eenmalig, en beide krimpen zodra de inschrijvingsstroom ze automatiseert.

De kosten zijn reëel voor een huishouden met twee tablets en één gebruiker, waar een gedeelde identiteit een redelijke beslissing is die in één zin wordt vastgelegd. Ze zijn niet redelijk voor een dienst waar toegang per persoon of per apparaat moet worden ingetrokken, omdat het intrekkingsverhaal de hele reden is om certificaten in plaats van een wachtwoord te gebruiken. Beoordeel de implementatie aan hoe vaak apparaten van eigenaar wisselen, niet aan hoeveel apparaten er vandaag zijn.

Schrijf het apparaat in, kopieer de sleutel niet

Moderne platforms bewaren privésleutels in een beschermde opslag, en sommige markeren ze by design als niet-exporteerbaar. Die eigenschap maakt kopiëren vanaf het begin onmogelijk, en het is ook de reden waarom een geëxporteerd pakket van een laptop niet zomaar op een tablet kan worden geïmporteerd op enige ondersteunde manier. Een poging levert toch een profiel op dat schoon installeert en daarna nooit authenticeert.

Gebruik de inschrijfmethode die de implementatie al ondersteunt: een beheerd identiteitsprofiel, een SCEP-dienst of een op accounts gebaseerde stroom die een nieuwe sleutel op het apparaat uitgeeft. De privésleutel van de certificaatautoriteit verspreiden om een ontbrekende identiteit op te lossen is een andere fout met een veel grotere impact. De autoriteit geeft referenties uit en zou nooit naar het eindpunt moeten reizen.

Controleer de intrekking voordat u antwoordt

Voordat u de gedeelde optie kiest, beschrijf hoe intrekking er op de slechtste dag uitziet. Als het antwoord één actie is die meerdere apparaten raakt, heeft het ontwerp al tegen u besloten.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Onderzoek het materiaal dat u werkelijk hebt: of er een privésleutel aanwezig is, wat het subject zegt en of het serienummer afzonderlijk kan worden ingetrokken. Een certificaatbestand zonder zijn sleutel kan niets authenticeren, en daarom mislukken sommige gekopieerde identiteiten bij de eerste verbinding.

Een app van de tablet verwijderen is geen intrekking, en de server blijft de identiteit accepteren tot iemand die uitschakelt. Schrijf die zin in het runbook voordat het eerste apparaat wordt ingeschreven.