Waarom VPN-inschrijving u vraagt naar het kantoor te komen

Gevraagd worden om persoonlijk te verschijnen voor een VPN-account voelt als een technische beperking, en dat is het allerminst. Het tunnelprotocol heeft geen mening over waar u staat. Wat het bezoek implementeert, is een beslissing over identiteit: iemand in de organisatie moet ervan overtuigd zijn dat de persoon die de inloggegevens ontvangt, de persoon in het register is. Begrijpen welke beslissing die zekerheid nodig heeft, is wat een discussie over de reis verandert in een oplosbaar probleem.

Drie verzoeken die op elkaar lijken

Een nieuwe medewerker moet zijn identiteit laten vaststellen, zijn geschiktheid laten bevestigen en zijn toegang laten goedkeuren, en niets daarvan volgt uit een certificaataanvraag of een weergegeven naam in een e-mail. Een bestaande gebruiker die een wachtwoord wijzigt, heeft een goedgekeurde manier nodig om de wijziging te authenticeren, wat weer een andere vraag is. Wie alle geaccepteerde authenticatoren is kwijtgeraakt, heeft herstel nodig, en dat is de gevaarlijkste van de drie, omdat de persoon die erom vraagt een bedrieger kan zijn die de bewijzen probeert te vervangen die hem normaal zouden tegenhouden.

Die gevallen zouden standaard niet één informele procedure moeten delen. Het bezit van een personeelsnummer of toegang tot een niet-geverifieerd postvak is geen vervanging voor de controle die de organisatie heeft gekozen.

Wat een bezoek bewijst en wat niet

Identiteitsbewijs is een proces met fasen in plaats van een plaats. Richtlijnen zoals de richtlijnen van NIST voor identiteitsbewijs scheiden het vaststellen van een identiteit, het valideren van de bewijzen erachter en het verifiëren dat de aanvrager de persoon is die die bewijzen beschrijven. Elke fase kan met of zonder aanwezigheid, op afstand of ter plaatse zijn, en de zekerheid hangt af van hoe ze allemaal worden uitgevoerd. Een fase overslaan is een beslissing over risico, geen sluiproute door papierwerk.

In een kantoor staan voert op zichzelf geen van die fasen uit. Een videogesprek voert op zichzelf ook geen enkele daarvan uit, daarom is een proces op afstand niet automatisch zwakker en een proces ter plaatse niet automatisch volledig.

De zekerheid wordt gedragen door opgeleide operators, omgang met bewijzen en technische controles, en de locatie beperkt alleen hoe ze kunnen worden toegepast. Een bureau in een kantoor met een onopgeleide operator is geen sterk proces.

Vraag om het goedgekeurde alternatief

Als de reis echt onpraktisch is, vraag de aangewezen eigenaar dan of er al een goedgekeurde methode op afstand of herstelmethode bestaat. Onderhandel geen uitzondering met een individuele beheerder, want dat levert inloggegevens op die niemand kan controleren en een precedent waar niemand mee heeft ingestemd. De goedgekeurde weg is meestal gedocumenteerd, zelfs wanneer niemand er recent om heeft gevraagd.

Waar een stap ter plaatse vereist is, zoek precies uit welke fase die vervult. Een bezoek dat bewijzen verifieert, is een andere eis dan een bezoek dat getuigt van een handtekening, en de twee hebben verschillende alternatieven.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Houd de latere fasen expliciet

Verificatie is niet het einde van het proces. Toegangsgoedkeuring, binding van inloggegevens en levering hebben elk hun eigen registratie nodig, en de omvang van het beoogde apparaat en de resource moet worden opgeschreven in plaats van aangenomen.

Bewaar ook de geautoriseerde herstelroute, want een gebruiker die niet kan herstellen, zal een informele vinden. Behandel eventuele blootgestelde inloggegevens via het werkelijke verwijderingsproces. Een voltooid bezoek of een wachtwoordwijziging trekt op zichzelf geen andere actieve sessies in, en in dat gat blijven de meeste incidenten voortduren.

De vraag die aan de eigenaar moet worden teruggegeven, is daarom smal: welke beslissing vereist persoonlijke zekerheid, en wat is de goedgekeurde manier om dezelfde zekerheid te bereiken wanneer de reis onmogelijk is. Die vraag kan worden beantwoord, en een klacht over de reis niet.