Are nevoie un iPad de propriul certificat de client VPN?

Un iPad nou se alătură echipei, iar calea cea mai rapidă este să exportați certificatul de client existent și să-l instalați pe tabletă. Funcționează până când cineva pleacă, pierde un dispozitiv sau cere un audit care spune ce dispozitiv s-a conectat și când. Decizia nu este despre fișierul certificatului, ci despre identitate: dacă fiecare dispozitiv poate fi autorizat și revocat de unul singur. Costul și efortul de administrare decid răspunsul, iar ambele sunt mai mici decât par.

Emitent comun, identități separate

Fiecare dispozitiv poate avea încredere în aceeași autoritate de certificare și se poate conecta la aceeași poartă având o identitate de client diferită. Emitentul este o ancoră de încredere, iar identitatea este o pereche de chei al cărei subiect serverul îl mapează la o politică. Tocmai confundarea celor două face un certificat partajat să pară inofensiv. Rămâne inofensiv doar până când cineva trebuie să știe ce dispozitiv a deschis o sesiune.

Partajarea emitentului economisește muncă de configurare și nu schimbă nimic în responsabilitatea pe dispozitiv. Partajarea identității reunește fiecare dispozitiv într-o singură unitate revocabilă: revocarea unuia le revocă pe toate, iar autorizarea unui înlocuitor autorizează fiecare copie a cheii făcută vreodată. Acest schimb merită făcut explicit, nu copiind un fișier pentru că e mai rapid vineri după-amiază.

Când un al doilea certificat costă prea mult

Înregistrarea pe dispozitiv costă un pas: un profil gestionat, o cerere SCEP sau un import ghidat cu o parolă de unică folosință. Costă și un loc unde să urmăriți numerele de serie și datele de expirare, partea pe care majoritatea implementărilor o uită până când primul certificat expiră. Ambele costuri sunt unice, iar ambele scad de îndată ce fluxul de înregistrare le automatizează.

Costul este real pentru o gospodărie cu două tablete și un singur utilizator, unde o identitate partajată este o decizie rezonabilă documentată într-o propoziție. Nu este rezonabil pentru un serviciu în care accesul trebuie retras pe persoană sau pe dispozitiv, pentru că povestea revocării este întregul motiv de a folosi certificate în loc de o parolă. Judecați implementarea după cât de des își schimbă dispozitivele proprietarul, nu după câte dispozitive există astăzi.

Înregistrați dispozitivul, nu copiați cheia

Platformele moderne păstrează cheile private într-un depozit protejat, iar unele le marchează ca neexportabile prin design. Această proprietate face copierea imposibilă de la început și este și motivul pentru care un pachet exportat de pe un laptop nu poate fi pur și simplu reimportat pe o tabletă în niciun mod acceptat. Încercarea tot produce un profil care se instalează curat și apoi nu autentifică niciodată.

Folosiți metoda de înregistrare pe care implementarea o acceptă deja: un profil de identitate gestionat, un serviciu SCEP sau un flux bazat pe cont care emite o cheie nouă pe dispozitiv. Distribuirea cheii private a autorității de certificare pentru a rezolva o identitate lipsă este o altă greșeală, cu o rază de impact mult mai mare. Autoritatea emite acreditări și nu ar trebui să călătorească niciodată la punctul final.

Verificați revocarea înainte de a răspunde

Înainte de a alege opțiunea partajată, descrieți cum arată revocarea în cea mai proastă zi. Dacă răspunsul este o singură acțiune care afectează mai multe dispozitive, proiectarea a decis deja împotriva dumneavoastră.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Examinați materialul pe care îl aveți cu adevărat: dacă există o cheie privată, ce spune subiectul și dacă numărul de serie poate fi revocat individual. Un fișier de certificat fără cheia sa nu poate autentifica nimic, și de aceea unele identități copiate eșuează la prima conexiune.

Ștergerea unei aplicații de pe tabletă nu este revocare, iar serverul continuă să accepte identitatea până când cineva o dezactivează. Scrieți această propoziție în runbook înainte de înregistrarea primului dispozitiv.