Почему регистрация VPN просит вас прийти в офис

Просьба лично прийти за учётной записью VPN кажется техническим ограничением, но это совсем не так. Протоколу туннеля нет дела до того, где вы находитесь. Визит реализует решение об идентичности: кто-то в организации должен убедиться, что получатель учётных данных — это человек из записи. Понимание того, какое решение требует такой уверенности, и превращает спор о поездке в решаемую задачу.

Три запроса, которые выглядят одинаково

Новому сотруднику нужно установить личность, подтвердить право и одобрить доступ, и ничто из этого не следует из запроса сертификата или отображаемого имени в письме. Действующему пользователю, меняющему пароль, нужен одобренный способ подтвердить изменение, и это уже другой вопрос. Тот, кто потерял все принятые средства аутентификации, нуждается в восстановлении, и это самое опасное из трёх, потому что просящий может быть мошенником, пытающимся подменить доказательства, которые обычно его остановили бы.

Эти случаи не должны по умолчанию делить одну неформальную процедуру. Наличие табельного номера или доступ к непроверенному почтовому ящику не заменяет проверку, которую выбрала организация.

Что доказывает визит, а что нет

Доказательство личности — это процесс с этапами, а не место. Такие руководства, как руководство NIST по доказательству личности, разделяют установление личности, проверку доказательств за ней и подтверждение того, что заявитель — это человек, которого описывают эти доказательства. Каждый этап может быть с присутствием или без, удалённо или на месте, и уверенность зависит от того, как выполняются все. Пропуск этапа — это решение о риске, а не короткий путь через бумажную работу.

Стояние в офисе само по себе не выполняет ни одного из этих этапов. Видеозвонок тоже сам по себе не выполняет ни одного из них, поэтому удалённый процесс не становится автоматически слабее, а процесс на месте — автоматически полным.

Уверенность обеспечивают обученные операторы, работа с доказательствами и технические средства контроля, а место лишь ограничивает то, как их можно применить. Стол в офисе с необученным оператором — не сильный процесс.

Запросите одобренную альтернативу

Если поездка действительно непрактична, выясните у назначенного владельца, существует ли уже одобренный удалённый способ или способ восстановления. Не договаривайтесь об исключении с отдельным администратором, потому что это создаёт учётные данные, которые никто не может проверить, и прецедент, с которым никто не согласился. Одобренный путь обычно задокументирован, даже когда никто недавно его не запрашивал.

Там, где требуется этап на месте, выясните точно, какой этап он удовлетворяет. Визит, проверяющий доказательства, — это иное требование, чем визит, свидетельствующий подпись, и у обоих разные альтернативы.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Держите последующие этапы явными

Проверка — не конец процесса. Одобрение доступа, привязка учётных данных и доставка каждое нуждаются в собственной записи, а охват предполагаемого устройства и ресурса следует записать, а не предполагать.

Сохраните и одобренный путь восстановления, потому что пользователь, который не может восстановиться, найдёт неформальный. С любыми раскрытыми учётными данными работайте через их фактический процесс удаления. Завершённый визит или смена пароля сами по себе не отзывают другие активные сеансы, и именно в этом разрыве продолжается большинство инцидентов.

Вопрос, который нужно принести владельцу, поэтому узок: какое решение требует личной уверенности и каков одобренный способ достичь той же уверенности, когда поездка невозможна. На этот вопрос можно ответить, а на жалобу о поездке — нет.