Trenger en iPad sitt eget VPN-klientsertifikat?

En ny iPad blir med i teamet, og den raskeste veien er å eksportere det eksisterende klientsertifikatet og installere det på nettbrettet. Det fungerer til noen slutter, mister en enhet eller ber om en revisjon som viser hvilken enhet som koblet til når. Beslutningen handler ikke om sertifikatfilen, men om identitet: om hver enhet kan autoriseres og tilbakekalles for seg selv. Kostnad og administrasjonsarbeid avgjør svaret, og begge er mindre enn de ser ut.

Felles utsteder, atskilte identiteter

Hver enhet kan stole på samme sertifikatmyndighet og koble til samme gateway mens den har en annen klientidentitet. Utstederen er et tillitsanker, mens identiteten er et nøkkelpar som serveren kobler subjektet til en policy. Det er sammenblandingen av de to som får et delt sertifikat til å føles ufarlig. Det forblir ufarlig helt til noen må vite hvilken enhet som åpnet en sesjon.

Å dele utstederen sparer konfigurasjonsarbeid og endrer ingenting i ansvarligheten per enhet. Å dele identiteten samler hver enhet i én tilbakekallbar enhet: tilbakekaller du én, tilbakekaller du alle, og autoriserer du en erstatning, autoriserer du hver kopi av nøkkelen som noen gang er laget. Den handelen er verdt å gjøre eksplisitt i stedet for å kopiere en fil fordi det er raskere fredag ettermiddag.

Når et ekstra sertifikat koster for mye

Registrering per enhet koster ett trinn: en administrert profil, en SCEP-forespørsel eller en veiledet import med engangspassord. Det koster også et sted å spore serienumre og utløpsdatoer, den delen de fleste utrullinger glemmer til det første sertifikatet utløper. Begge kostnadene er engangs, og begge krymper når registreringsflyten automatiserer dem.

Kostnaden er reell for en husstand med to nettbrett og én bruker, der en delt identitet er en rimelig beslutning dokumentert i én setning. Den er ikke rimelig for en tjeneste der tilgang må trekkes tilbake per person eller per enhet, fordi tilbakekallingshistorien er hele grunnen til å bruke sertifikater i stedet for et passord. Vurder utrullingen etter hvor ofte enheter bytter hender, ikke etter hvor mange enheter som finnes i dag.

Registrer enheten, ikke kopier nøkkelen

Moderne plattformer oppbevarer private nøkler i et beskyttet lager, og noen merker dem som ikke-eksporterbare ved design. Den egenskapen er det som gjør kopiering umulig i utgangspunktet, og det er også grunnen til at en eksportert pakke fra en bærbar PC ikke bare kan importeres på nytt på et nettbrett på noen støttet måte. Forsøk gir likevel en profil som installeres rent og deretter aldri autentiserer.

Bruk registreringsmetoden utrullingen allerede støtter: en administrert identitetsprofil, en SCEP-tjeneste eller en kontobasert flyt som utsteder en ny nøkkel på enheten. Å distribuere sertifikatmyndighetens private nøkkel for å løse en manglende identitet er en annen feil med en langt større radius. Myndigheten utsteder legitimasjon og bør aldri reise til endepunktet.

Sjekk tilbakekallingen før du svarer

Før du velger det delte alternativet, beskriv hvordan tilbakekalling ser ut på den verste dagen. Hvis svaret er én handling som påvirker flere enheter, har designet allerede bestemt mot deg.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Undersøk materialet du faktisk har: om det finnes en privat nøkkel, hva subjektet sier og om serienummeret kan tilbakekalles individuelt. En sertifikatfil uten nøkkelen sin kan ikke autentisere noe, og det er derfor noen kopierte identiteter feiler ved den første tilkoblingen.

Å slette en app fra nettbrettet er ikke tilbakekalling, og serveren fortsetter å godta identiteten til noen deaktiverer den. Skriv den setningen i runbooken før den første enheten registreres.