Dlaczego rejestracja VPN prosi o wizytę w biurze

Prośba o osobiste stawienie się w sprawie konta VPN wydaje się ograniczeniem technicznym, a wcale nim nie jest. Protokół tunelu nie ma zdania na temat tego, gdzie stoisz. Wizyta realizuje decyzję o tożsamości: ktoś w organizacji musi być przekonany, że osoba otrzymująca poświadczenia to osoba z rejestru. Zrozumienie, która decyzja wymaga tego zapewnienia, zmienia spór o podróż w rozwiązywalny problem.

Trzy wnioski, które wyglądają podobnie

Nowy pracownik potrzebuje ustalenia tożsamości, potwierdzenia uprawnień i zatwierdzenia dostępu, a żadne z tego nie wynika z wniosku o certyfikat ani z wyświetlanej nazwy w e-mailu. Istniejący użytkownik zmieniający hasło potrzebuje zatwierdzonego sposobu uwierzytelnienia zmiany, co jest kolejnym pytaniem. Ktoś, kto utracił wszystkie akceptowane uwierzytelniacze, potrzebuje odzyskiwania, i to jest najniebezpieczniejsze z trzech, ponieważ prosząca osoba może być oszustem próbującym zastąpić dowody, które normalnie by ją zatrzymały.

Te przypadki nie powinny domyślnie dzielić jednej nieformalnej procedury. Posiadanie numeru pracownika lub dostępu do niezweryfikowanej skrzynki pocztowej nie zastępuje kontroli wybranej przez organizację.

Co wizyta dowodzi, a czego nie

Dowód tożsamości to proces z etapami, a nie miejsce. Wytyczne takie jak wytyczne NIST dotyczące dowodu tożsamości oddzielają ustalenie tożsamości, walidację dowodów za nią stojących i weryfikację, że wnioskodawca jest osobą opisaną przez te dowody. Każdy etap może być z obecnością lub bez, zdalnie lub na miejscu, a zapewnienie zależy od tego, jak wszystkie są wykonywane. Pominięcie etapu jest decyzją o ryzyku, a nie skrótem przez papierologię.

Stanie w biurze samo w sobie nie wykonuje żadnego z tych etapów. Rozmowa wideo też sama w sobie nie wykonuje żadnego z nich, dlatego proces zdalny nie jest automatycznie słabszy, a proces na miejscu nie jest automatycznie kompletny.

Zapewnienie niosą przeszkoleni operatorzy, obchodzenie się z dowodami i kontrole techniczne, a lokalizacja jedynie ogranicza, jak można je zastosować. Biurko w biurze z nieszkolonym operatorem nie jest silnym procesem.

Poproś o zatwierdzoną alternatywę

Jeśli podróż jest naprawdę niepraktyczna, zapytaj wyznaczonego właściciela, czy istnieje już zatwierdzona metoda zdalna lub metoda odzyskiwania. Nie negocjuj wyjątku z pojedynczym administratorem, ponieważ tworzy to poświadczenia, których nikt nie może zaudytować, i precedens, na który nikt się nie zgodził. Zatwierdzona ścieżka jest zwykle udokumentowana, nawet gdy nikt niedawno o nią nie prosił.

Gdzie wymagany jest krok na miejscu, ustal dokładnie, który etap spełnia. Wizyta weryfikująca dowody to inne wymaganie niż wizyta będąca świadkiem podpisu, a obie mają różne alternatywy.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Utrzymuj późniejsze etapy jawnie

Weryfikacja nie jest końcem procesu. Zatwierdzenie dostępu, powiązanie poświadczeń i dostarczenie potrzebują każdy własnego zapisu, a zakres zamierzonego urządzenia i zasobu należy zapisać, a nie zakładać.

Zachowaj także zatwierdzoną ścieżkę odzyskiwania, ponieważ użytkownik, który nie może się odzyskać, znajdzie nieformalną. Z każdym ujawnionym poświadczeniem postępuj zgodnie z jego rzeczywistym procesem usuwania. Zakończona wizyta lub zmiana hasła sama w sobie nie unieważnia innych aktywnych sesji, i właśnie w tej luce trwa większość incydentów.

Pytanie, które należy przynieść właścicielowi, jest więc wąskie: która decyzja wymaga osobistego zapewnienia i jaka jest zatwierdzona droga do osiągnięcia tego samego zapewnienia, gdy podróż jest niemożliwa. Na to pytanie można odpowiedzieć, a na skargę dotyczącą podróży nie.