Por que a inscrição VPN pede que você visite o escritório

Ser solicitado a comparecer pessoalmente para uma conta VPN parece uma limitação técnica, e não é nada disso. O protocolo do túnel não tem opinião sobre onde você está. O que a visita implementa é uma decisão sobre a identidade: alguém na organização precisa estar convencido de que a pessoa que recebe a credencial é a pessoa no registro. Entender qual decisão exige essa garantia é o que transforma uma discussão sobre a viagem em um problema solucionável.

Três pedidos que parecem iguais

Um novo funcionário precisa ter a identidade estabelecida, a elegibilidade confirmada e o acesso aprovado, e nada disso decorre de um pedido de certificado ou de um nome exibido em um e-mail. Um usuário existente que troca a senha precisa de uma forma aprovada de autenticar a mudança, o que é outra questão. Quem perdeu todos os autenticadores aceitos precisa de recuperação, e esse é o mais perigoso dos três, porque quem pede pode ser um impostor tentando substituir as evidências que normalmente o deteriam.

Esses casos não devem compartilhar por padrão um único procedimento informal. Possuir um número de funcionário ou acesso a uma caixa de correio não verificada não substitui a verificação que a organização escolheu.

O que uma visita prova e o que não prova

A prova de identidade é um processo com etapas, não um lugar. Diretrizes como as diretrizes de prova de identidade do NIST separam a resolução de uma identidade, a validação das evidências por trás dela e a verificação de que o solicitante é a pessoa que essas evidências descrevem. Cada etapa pode ser com ou sem assistência, remota ou presencial, e a garantia depende de como todas são executadas. Pular uma etapa é uma decisão sobre o risco, não um atalho burocrático.

Ficar em pé em um escritório não executa por si só nenhuma dessas etapas. Uma videochamada também não executa por si só nenhuma delas, por isso um processo remoto não é automaticamente mais fraco nem um presencial é automaticamente completo.

A garantia é sustentada por operadores treinados, pelo tratamento das evidências e por controles técnicos, e o local apenas limita como eles podem ser aplicados. Uma mesa em um escritório com um operador não treinado não é um processo sólido.

Peça a alternativa aprovada

Se a viagem for realmente pouco prática, pergunte ao proprietário designado se já existe um método remoto ou de recuperação aprovado. Não negocie uma exceção com um administrador individual, porque isso produz uma credencial que ninguém pode auditar e um precedente com o qual ninguém concordou. O caminho aprovado costuma estar documentado, mesmo quando ninguém o pediu recentemente.

Onde uma etapa presencial é exigida, descubra exatamente qual etapa ela satisfaz. Uma visita que verifica evidências é um requisito diferente de uma que testemunha uma assinatura, e as duas têm alternativas diferentes.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Mantenha explícitas as etapas posteriores

A verificação não é o fim do processo. A aprovação do acesso, a vinculação da credencial e a entrega precisam cada uma do seu próprio registro, e o escopo do dispositivo e do recurso pretendidos deve ser escrito em vez de presumido.

Preserve também a rota de recuperação autorizada, porque um usuário que não consegue se recuperar encontrará uma informal. Trate qualquer credencial exposta por meio do seu processo real de remoção. Uma visita concluída ou uma troca de senha não revoga por si só outras sessões ativas, e é nessa lacuna que a maioria dos incidentes continua.

A pergunta a levar de volta ao proprietário é, portanto, estreita: qual decisão exige garantia em pessoa e qual é a forma aprovada de alcançar a mesma garantia quando a viagem é impossível. Essa pergunta pode ser respondida, e uma reclamação sobre a viagem não.