Acesso VPN de clientes: dê ao trabalho privilegiado o seu próprio dispositivo

O perfil de ligação diz Produção, o túnel sobe e cada janela do ambiente de trabalho passa a alcançar os sistemas do cliente. Nada nessa sequência separou a sessão privilegiada do separador do navegador ao lado. Um perfil VPN é um nome mais um conjunto de rotas; a fronteira que realmente lhe importa é construída com identidade do dispositivo, um ambiente de execução controlado e um caminho para as credenciais. Esses três são aplicados em locais diferentes, e é por isso que acrescentar um e ignorar os outros produz um desenho que parece conforme e não é.

Um nome de perfil não é uma fronteira

O cliente aplica rotas e configuração de DNS quando o túnel sobe, e tudo o que depois corre nessa máquina herda as duas coisas.

Um nome numa lista pendente muda o que um operador reconhece, não o que o sistema operativo permite.

A identidade do dispositivo é o que a gateway consegue verificar

Uma gateway que suporta certificados de dispositivo ou verificações de postura autentica a máquina além da pessoa. É essa a camada que pode recusar uma ligação a partir de um portátil não gerido antes de alguém escrever uma palavra-passe. Também lhe dá algo concreto para revogar quando um dispositivo se perde. Copiar um certificado para três máquinas elimina exatamente essa propriedade, e é por isso que o ciclo de vida do certificado pertence ao acordo e não a uma pasta partilhada.

O cliente decide quais desses controlos a sua política exige, e uma máquina virtual construída por um fornecedor pode não cumprir de todo uma verificação de postura.

Onde a fronteira de uma máquina virtual fica porosa

Uma máquina virtual mantém juntas as ferramentas do cliente e o estado da rede, e isso é genuinamente útil. Mas também depende do seu anfitrião e do hipervisor, e várias comodidades atravessam a linha: pastas partilhadas, integração da área de transferência, agentes de credenciais e acesso de administração ao nível do anfitrião. Um convidado privilegiado num anfitrião de uso diário não é fiavelmente independente, porque o anfitrião pode observar o que o convidado faz. Trate a máquina virtual como um controlo que reduz a exposição, não como um domínio de segurança separado.

Um dispositivo físico dedicado remove a dependência do anfitrião e acrescenta em troca uma obrigação de manutenção.

Credenciais e caminhos de transferência

Use identidades individuais e revogáveis por engenheiro e por cliente, e mantenha-as fora dos perfis pessoais do navegador e do histórico de conversas. Credenciais partilhadas por toda uma equipa não se conseguem atribuir, rodar ou revogar de forma limpa. Decida o caminho de transferência de ferramentas, ficheiros e saída de diagnóstico antes da primeira sessão, porque o movimento improvisado de ficheiros é a forma como uma fronteira deixa silenciosamente de o ser. Se for preciso chegar a dois clientes ao mesmo tempo, obtenha primeiro a aprovação da separação de rede e identidade.

Nunca faça ponte entre duas redes de clientes através de uma só estação de trabalho apenas porque naquela tarde era conveniente.

O acordo que torna isto repetível

Escreva um registo curto por cliente e guarde-o onde ambas as partes o possam encontrar. Deve nomear o dispositivo ou ambiente remoto aprovado e quem o mantém, as identidades permitidas, os sistemas e operações a que podem chegar, o caminho de transferência e a forma normal como uma sessão termina.

Cinco linhas que alguém revê quando uma pessoa entra ou sai valem mais do que uma política que ninguém consegue aplicar:

• Dispositivo ou ambiente remoto aprovado, com um responsável de manutenção nomeado.
• Identidades individuais de utilizador e de dispositivo permitidas para o suporte.
• Sistemas e operações a que essas identidades podem chegar.
• Caminho permitido para ferramentas, ficheiros e saída de diagnóstico.
• Processo de fim de sessão e uma alternativa de emergência autorizada.

Acesso de emergência sem mover credenciais

Quando um controlo bloqueia uma reparação urgente, o caminho é o processo de exceção, não um segundo portátil que leva as mesmas credenciais. Uma exceção aprovada registra quem a autorizou, o que foi aliviado e quando termina. Mover uma credencial para uma máquina de uso diário muda a fronteira no pior momento possível, e normalmente fica mudada depois. A via de emergência merece um ensaio enquanto nada está avariado.

Depois termine a sessão como o acordo diz, e confirme que o acesso parou realmente.