Potrebuje iPad vlastný klientsky certifikát VPN?

Nový iPad sa pripojí k tímu a najrýchlejšia cesta je exportovať existujúci klientsky certifikát a nainštalovať ho do tabletu. Funguje to dovtedy, kým niekto neodíde, nestratí zariadenie alebo nepožiada audit, ktorý ukáže, ktoré zariadenie sa kedy pripojilo. Rozhodnutie nie je o súbore certifikátu, ale o identite: či možno každé zariadenie autorizovať a odvolať samostatne. Cena a náročnosť správy rozhodujú o odpovedi a obe sú menšie, než sa zdá.

Spoločný vydavateľ, oddelené identity

Každé zariadenie môže dôverovať tej istej certifikačnej autorite a pripájať sa k tej istej bráne, pričom má inú klientsku identitu. Vydavateľ je kotva dôvery a identita je pár kľúčov, ktorého subjekt server mapuje na politiku. Práve zámena týchto dvoch vecí robí spoločný certifikát zdanlivo neškodným. Neškodný zostáva len dovtedy, kým niekto potrebuje vedieť, ktoré zariadenie otvorilo reláciu.

Zdieľanie vydavateľa šetrí konfiguračnú prácu a na zodpovednosti za jednotlivé zariadenia nič nemení. Zdieľanie identity zlieva každé zariadenie do jednej odvolateľnej jednotky: odvolanie jedného odvolá všetky a autorizácia náhrady autorizuje každú kedy vytvorenú kópiu kľúča. Túto výmenu sa oplatí urobiť výslovne, a nie skopírovaním súboru preto, že je to v piatok popoludní rýchlejšie.

Keď druhý certifikát stojí priveľa

Registrácia pre každé zariadenie stojí jeden krok: spravovaný profil, žiadosť SCEP alebo vedený import s jednorazovým heslom. Vyžaduje aj miesto na sledovanie sériových čísel a dátumov expirácie, teda časť, na ktorú väčšina nasadení zabudne, kým prvý certifikát nevyprší. Obe náklady sú jednorazové a obe klesnú, len čo ich registračný tok zautomatizuje.

Náklad je skutočný pre domácnosť s dvoma tabletmi a jedným používateľom, kde je spoločná identita rozumné rozhodnutie doložené jednou vetou. Rozumné nie je pre službu, v ktorej treba prístup odobrať po osobe alebo po zariadení, pretože príbeh odvolania je celý dôvod používať certifikáty namiesto hesla. Posudzujte nasadenie podľa toho, ako často zariadenia menia majiteľa, nie podľa toho, koľko zariadení dnes existuje.

Zaregistrujte zariadenie, nekopírujte kľúč

Moderné platformy držia súkromné kľúče v chránenom úložisku a niektoré ich označujú ako dizajnovo neexportovateľné. Práve táto vlastnosť robí kopírovanie od začiatku nemožným a je aj dôvodom, prečo exportovaný balík z notebooku nemožno jednoducho znova importovať do tabletu žiadnym podporovaným spôsobom. Pokus aj tak vytvorí profil, ktorý sa čisto nainštaluje a potom už nikdy neautentizuje.

Použite metódu registrácie, ktorú nasadenie už podporuje: spravovaný profil identity, službu SCEP alebo tok založený na účte, ktorý na zariadení vydá nový kľúč. Rozdávať súkromný kľúč certifikačnej autority na vyriešenie chýbajúcej identity je iná chyba s oveľa väčším dosahom. Autorita vydáva prihlasovacie údaje a nikdy by nemala putovať ku koncovému bodu.

Skontrolujte odvolanie, kým odpoviete

Kým zvolíte spoločnú možnosť, opíšte, ako vyzerá odvolanie v najhorší deň. Ak je odpoveďou jedna akcia postihujúca viac zariadení, návrh už rozhodol proti vám.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Preskúmajte materiál, ktorý skutočne máte: či je prítomný súkromný kľúč, čo hovorí subjekt a či sa sériové číslo dá odvolať jednotlivo. Súbor certifikátu bez svojho kľúča nemôže nič autentizovať, a preto niektoré skopírované identity zlyhajú pri prvom pripojení.

Zmazanie aplikácie z tabletu nie je odvolanie a server naďalej prijíma identitu, kým ju niekto nevypne. Napíšte tú vetu do runbooku, kým sa zaregistruje prvé zariadenie.