Kvifor VPN-påmelding ber deg møte opp på kontoret

Å bli beden om å møte personleg opp for ein VPN-konto kjennest som ei teknisk avgrensing, og det er slett ikkje tilfellet. Tunnelprotokollen har inga meining om kvar du står. Det besøket implementerer, er eit vedtak om identitet: nokon i organisasjonen må vere overtydd om at personen som mottek legitimasjonen, er personen i registeret. Å forstå kva vedtak som treng den trygginga, er det som gjer ein diskusjon om reisa til eit løysbart problem.

Tre førespurnader som ser like ut

Ein ny tilsett treng å få identiteten sin fastslått, kvalifikasjonane stadfesta og tilgangen godkjend, og ingen av desse følgjer av ein sertifikatførespurnad eller eit vist namn i ein e-post. Ein eksisterande brukar som byter passord, treng ein godkjend måte å autentisere endringa på, som er eit heilt anna spørsmål. Nokon som har mista alle godkjende autentiseringsfaktorar, treng gjenoppretting, og det er den farlegaste av dei tre, fordi den som spør, kan vere ein bedrager som prøver å erstatte prova som normalt ville stoppa han.

Desse sakene bør ikkje som standard dele éin uformell prosedyre. Å ha eit tilsettnummer eller tilgang til ein ubekrefta postkasse er ikkje ei erstatning for kontrollen organisasjonen har valt.

Kva eit besøk provar, og kva det ikkje provar

Identitetsbevis er ein prosess med fasar snarare enn ein stad. Retningslinjer som rettningslinjene til NIST om identitetsbevis skil mellom å avklare ein identitet, validere prova bak han og verifisere at søkjaren er personen desse prova skildrar. Kvar fase kan vere med eller utan oppmøte, eksternt eller på staden, og trygginga avheng av korleis alle vert gjennomførte. Å hoppe over ein fase er eit vedtak om risiko, ikkje ein snarvveg gjennom papirarbeid.

Å stå på eit kontor utfører ikkje nokon av desse fasane i seg sjølv. Ein videosamtale utfører heller ikkje nokon av dei i seg sjølv, og difor er ein ekstern prosess ikkje automatisk svakare, og ein prosess på staden er ikkje automatisk komplett.

Opplærte operatørar, handsaming av prov og tekniske kontrollar ber trygginga, og plasseringa avgrensar berre korleis dei kan brukast. Ein skrivebordsplass på eit kontor med ein uopplært operatør er ikkje ein sterk prosess.

Be om det godkjende alternativet

Viss reisa er verkeleg upraktisk, finn ut frå den utpeika eigaren om det allereie finst ein godkjend fjernmetode eller gjenopprettingsmetode. Ikkje forhandle om eit unntak med ein individuell administrator, fordi det gjev legitimasjon som ingen kan revidere, og ein presedens ingen har akseptert. Den godkjende vegen er vanlegvis dokumentert, sjølv når ingen har bede om han nyleg.

Der eit trinn på staden er kravd, må du finne ut nøyaktig kva fase det oppfyller. Eit besøk som verifiserer prov, er eit anna krav enn eit som vitnar om ein signatur, og dei to har ulike alternativ.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Hald dei seinare fasane eksplisitte

Verifisering er ikkje slutten på prosessen. Tilgangsgodkjenning, binding av legitimasjon og levering treng kvar si registrering, og omfanget av den tiltenkte eininga og ressursen bør skrivast ned i staden for å antakast.

Ta vare på den autoriserte gjenopprettingsvegen òg, fordi ein brukar som ikkje kan gjenopprette, vil finne ein uformell. Handsame all eksponert legitimasjon gjennom den faktiske fjerningsprosessen hans. Eit fullført besøk eller eit passordbyte tilbakekallar ikkje andre aktive økter i seg sjølv, og det er i dette gapet dei fleste hendingar held fram.

Spørsmålet som skal takast med tilbake til eigaren, er difor smalt: kva vedtak treng personleg trygging, og kva er den godkjende måten å oppnå same trygging på når reisa er umogeleg. Det spørsmålet kan svarast på, og ei klage over reisa kan ikkje.