De ce înscrierea VPN vă cere să vizitați biroul

Faptul că vi se cere să vă prezentați în persoană pentru un cont VPN pare o limitare tehnică, și nu este deloc așa. Protocolul tunelului nu are nicio părere despre unde vă aflați. Ceea ce implementează vizita este o decizie privind identitatea: cineva din organizație trebuie să fie convins că persoana care primește acreditările este persoana din registru. Înțelegerea deciziei care are nevoie de această asigurare este ceea ce transformă o dispută despre călătorie într-o problemă rezolvabilă.

Trei cereri care par identice

Un angajat nou are nevoie de stabilirea identității, confirmarea eligibilității și aprobarea accesului, iar niciuna dintre acestea nu decurge dintr-o cerere de certificat sau dintr-un nume afișat într-un e-mail. Un utilizator existent care schimbă parola are nevoie de o modalitate aprobată de a autentifica schimbarea, ceea ce este din nou o altă întrebare. Cine a pierdut toți autentificatorii acceptați are nevoie de recuperare, iar acesta este cel mai periculos dintre cele trei, pentru că persoana care cere poate fi un impostor care încearcă să înlocuiască dovezile care de obicei l-ar opri.

Aceste cazuri nu ar trebui să împartă implicit o singură procedură informală. Deținerea unui număr de angajat sau accesul la o căsuță poștală neverificată nu înlocuiește verificarea aleasă de organizație.

Ce dovedește o vizită și ce nu

Dovada identității este un proces cu etape, nu un loc. Ghiduri precum ghidurile NIST privind dovada identității separă rezolvarea unei identități, validarea dovezilor din spatele ei și verificarea faptului că solicitantul este persoana pe care acele dovezi o descriu. Fiecare etapă poate fi cu sau fără prezență, la distanță sau la fața locului, iar asigurarea depinde de modul în care toate sunt executate. Sărirea unei etape este o decizie privind riscul, nu o scurtătură birocratică.

Statul într-un birou nu execută de la sine niciuna dintre aceste etape. Nici un apel video nu execută de la sine vreuna dintre ele, de aceea un proces la distanță nu este automat mai slab, iar unul la fața locului nu este automat complet.

Asigurarea este purtată de operatori instruiți, de manipularea dovezilor și de controale tehnice, iar locația doar limitează modul în care acestea pot fi aplicate. Un birou într-o încăpere cu un operator neinstruit nu este un proces solid.

Cereți alternativa aprobată

Dacă călătoria este cu adevărat nepractică, întrebați proprietarul desemnat dacă există deja o metodă la distanță sau de recuperare aprobată. Nu negociați o excepție cu un administrator individual, pentru că asta produce acreditări pe care nimeni nu le poate audita și un precedent cu care nimeni nu a fost de acord. Calea aprobată este de obicei documentată, chiar și atunci când nimeni nu a cerut-o recent.

Acolo unde este necesar un pas la fața locului, aflați exact ce etapă satisface. O vizită care verifică dovezi este o cerință diferită de una care asistă la o semnătură, iar cele două au alternative diferite.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Păstrați explicite etapele ulterioare

Verificarea nu este sfârșitul procesului. Aprobarea accesului, legarea acreditărilor și livrarea au fiecare nevoie de propria înregistrare, iar sfera dispozitivului și a resursei vizate ar trebui scrisă, nu presupusă.

Păstrați și ruta de recuperare autorizată, pentru că un utilizator care nu se poate recupera va găsi una informală. Tratați orice acreditare expusă prin procesul ei real de eliminare. O vizită finalizată sau o schimbare de parolă nu revocă de la sine alte sesiuni active, și exact în acest gol continuă majoritatea incidentelor.

Întrebarea de dus înapoi la proprietar este, prin urmare, îngustă: care decizie are nevoie de asigurare în persoană și care este calea aprobată de a ajunge la aceeași asigurare atunci când călătoria este imposibilă. La această întrebare se poate răspunde, iar la o plângere despre călătorie nu.