Нужен ли iPad собственный клиентский сертификат VPN?

Новый iPad присоединяется к команде, и самый быстрый путь — экспортировать существующий клиентский сертификат и установить его на планшет. Это работает, пока кто-то не уволится, не потеряет устройство или не запросит аудит, показывающий, какое устройство и когда подключалось. Решение не о файле сертификата, а о личности: можно ли авторизовать и отозвать каждое устройство отдельно. Стоимость и трудозатраты на управление определяют ответ, и оба меньше, чем кажутся.

Общий издатель, отдельные личности

Каждое устройство может доверять одному и тому же удостоверяющему центру и подключаться к одному и тому же шлюзу, имея при этом другую клиентскую личность. Издатель — это якорь доверия, а личность — пара ключей, чей субъект сервер сопоставляет с политикой. Именно смешение этих понятий заставляет общий сертификат казаться безобидным. Он остаётся безобидным только до тех пор, пока кому-то не нужно узнать, какое устройство открыло сеанс.

Совместное использование издателя экономит работу по настройке и ничего не меняет в подотчётности по каждому устройству. Совместное использование личности сводит все устройства в одну отзываемую единицу: отзыв одного отзывает все, а авторизация замены авторизует каждую когда-либо сделанную копию ключа. Эту сделку стоит заключать явно, а не копированием файла потому, что так быстрее в пятницу днём.

Когда второй сертификат обходится слишком дорого

Регистрация по устройству стоит одного шага: управляемый профиль, запрос SCEP или пошаговый импорт с одноразовым паролем. Она также требует места для отслеживания серийных номеров и сроков действия — той части, которую большинство внедрений забывают, пока первый сертификат не истечёт. Обе затраты разовые, и обе сокращаются, как только процесс регистрации их автоматизирует.

Затраты реальны для домохозяйства с двумя планшетами и одним пользователем, где общая личность — разумное решение, задокументированное одним предложением. Он не разумен для сервиса, где доступ нужно отзывать по человеку или по устройству, потому что история отзыва — это вся причина использовать сертификаты вместо пароля. Оценивайте внедрение по тому, как часто устройства меняют владельца, а не по тому, сколько устройств есть сегодня.

Зарегистрируйте устройство, не копируйте ключ

Современные платформы хранят закрытые ключи в защищённом хранилище, а некоторые помечают их как неэкспортируемые по замыслу. Именно это свойство делает копирование невозможным изначально, и оно же объясняет, почему экспортированный с ноутбука пакет нельзя просто заново импортировать на планшет ни одним поддерживаемым способом. Попытка всё равно даёт профиль, который чисто устанавливается и затем никогда не аутентифицируется.

Используйте метод регистрации, который внедрение уже поддерживает: управляемый профиль личности, службу SCEP или процесс на основе учётной записи, выдающий новый ключ на устройстве. Раздача закрытого ключа удостоверяющего центра ради устранения недостающей личности — другая ошибка с гораздо большим радиусом поражения. Центр выдаёт учётные данные и никогда не должен попадать на конечную точку.

Проверьте отзыв, прежде чем отвечать

Прежде чем выбрать общий вариант, опишите, как выглядит отзыв в худший день. Если ответ — одно действие, затрагивающее несколько устройств, то архитектура уже решила против вас.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Изучите материал, который у вас действительно есть: присутствует ли закрытый ключ, что говорит субъект и можно ли отозвать серийный номер отдельно. Файл сертификата без своего ключа не может ничего аутентифицировать, и поэтому некоторые скопированные личности терпят неудачу при первом подключении.

Удаление приложения с планшета — не отзыв, и сервер продолжает принимать личность, пока кто-то её не отключит. Запишите это предложение в инструкцию до регистрации первого устройства.