Prečo registrácia VPN žiada osobnú návštevu kancelárie

Žiadosť, aby ste sa osobne dostavili pre VPN účet, vyzerá ako technické obmedzenie, ale nič také to nie je. Tunelový protokol nemá názor na to, kde stojíte. Návšteva napĺňa rozhodnutie o identite: niekto v organizácii sa musí uistiť, že osoba, ktorá preberá prihlasovacie údaje, je osobou v zázname. Pochopenie toho, ktoré rozhodnutie túto istotu potrebuje, mení hádku o ceste na riešiteľný problém.

Tri žiadosti, ktoré vyzerajú rovnako

Nastupujúci zamestnanec potrebuje preukázať totožnosť, potvrdiť oprávnenie a schváliť prístup a nič z toho nevyplýva zo žiadosti o certifikát ani zo zobrazeného mena v e-maile. Existujúci používateľ, ktorý mení heslo, potrebuje schválený spôsob overenia zmeny, čo je zase iná otázka. Kto stratil všetky uznávané autentifikátory, potrebuje obnovu, a to je najnebezpečnejšie z tých troch, pretože ten, kto žiada, môže byť podvodník, ktorý sa snaží nahradiť dôkazy, ktoré by ho zvyčajne zastavili.

Tieto prípady by v predvolenom nastavení nemali zdieľať jeden neformálny postup. Vlastníctvo čísla zamestnanca alebo prístup k neoverenej schránke nenahrádza kontrolu, ktorú si organizácia vybrala.

Čo návšteva preukazuje a čo nie

Preukazovanie totožnosti je proces s fázami, nie miesto. Usmernenia, ako sú usmernenia NIST na preukazovanie totožnosti, oddeľujú zistenie totožnosti, overenie dôkazov, ktoré za ňou stoja, a potvrdenie, že žiadateľ je osoba, ktorú tieto dôkazy opisujú. Každá fáza môže byť s účasťou alebo bez nej, na diaľku alebo na mieste, a istota závisí od toho, ako sa všetky vykonajú. Vynechanie fázy je rozhodnutie o riziku, nie skratka cez papierovačky.

Státie v kancelárii samo o sebe nevykoná žiadnu z týchto fáz. Videohovor tiež sám o sebe nevykoná žiadnu z nich, a preto nie je vzdialený proces automaticky slabší a proces na mieste nie je automaticky úplný.

Istotu nesú školení operátori, zaobchádzanie s dôkazmi a technické kontroly a umiestnenie len obmedzuje, ako ich možno uplatniť. Stôl v kancelárii s neškoleným operátorom nie je silný proces.

Požiadajte o schválenú alternatívu

Ak je cesta skutočne nepraktická, zistite u určeného vlastníka, či už existuje schválený vzdialený spôsob alebo spôsob obnovy. Nevyjednávajte výnimku s jednotlivým správcom, pretože to vytvára prihlasovacie údaje, ktoré nikto nemôže auditovať, a precedens, na ktorom sa nikto nedohodol. Schválená cesta je zvyčajne zdokumentovaná, aj keď o ňu nedávno nikto nežiadal.

Kde sa vyžaduje krok na mieste, zistite presne, ktorú fázu spĺňa. Návšteva, ktorá overuje dôkazy, je iná požiadavka ako tá, ktorá je svedkom podpisu, a obe majú rôzne alternatívy.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Udržujte neskoršie fázy výslovné

Overenie nie je koniec procesu. Schválenie prístupu, naviazanie prihlasovacích údajov a doručenie každé potrebujú vlastný záznam a rozsah zamýšľaného zariadenia a zdroja by sa mal zapísať, nie predpokladať.

Zachovajte aj schválenú cestu obnovy, pretože používateľ, ktorý sa nemôže obnoviť, si nájde neformálnu. S každými odhalenými prihlasovacími údajmi zaobchádzajte prostredníctvom ich skutočného procesu odstránenia. Dokončená návšteva alebo zmena hesla sama o sebe neodvolá iné aktívne relácie a práve v tejto medzere väčšina incidentov pokračuje.

Otázka, ktorú treba priniesť vlastníkovi, je preto úzka: ktoré rozhodnutie potrebuje osobnú istotu a aký je schválený spôsob, ako dosiahnuť rovnakú istotu, keď je cesta nemožná. Na túto otázku sa dá odpovedať, na sťažnosť na cestu nie.