Ali iPad potrebuje lastno odjemalsko potrdilo VPN?

Nov iPad se pridruži ekipi, najhitrejša pot pa je izvoz obstoječega odjemalskega potrdila in namestitev na tablico. To deluje, dokler nekdo ne odide, ne izgubi naprave ali ne zahteva revizije, ki bi pokazala, katera naprava se je kdaj povezala. Odločitev ni o datoteki potrdila, ampak o identiteti: ali je mogoče vsako napravo avtorizirati in preklicati posebej. Strošek in upravljavski napor določata odgovor, oba pa sta manjša, kot se zdita.

Skupni izdajatelj, ločene identitete

Vsaka naprava lahko zaupa isti potrditveni agenciji in se poveže z isto prehodno točko, pri tem pa ima drugačno odjemalsko identiteto. Izdajatelj je sidro zaupanja, identiteta pa je par ključev, katerega subjekt strežnik preslika v politiko. Prav zamenjava obojega naredi skupno potrdilo na videz neškodljivo. Neškodljivo ostane le do trenutka, ko mora nekdo vedeti, katera naprava je odprla sejo.

Deljenje izdajatelja prihrani konfiguracijsko delo in ničesar ne spremeni pri odgovornosti za posamezno napravo. Deljenje identitete stisne vsako napravo v eno preklicljivo enoto: preklic ene prekliče vse, avtorizacija zamenjave pa avtorizira vsako kdaj narejeno kopijo ključa. To menjavo je vredno narediti izrecno, namesto da kopirate datoteko zato, ker je v petek popoldne hitreje.

Ko drugo potrdilo stane preveč

Registracija za vsako napravo stane en korak: upravljani profil, zahtevek SCEP ali voden uvoz z enkratnim geslom. Zahteva tudi mesto za spremljanje serijskih številk in datumov poteka, del, ki ga večina uvedb pozabi, dokler prvo potrdilo ne poteče. Oba stroška sta enkratna in oba se zmanjšata, ko ju registracijski tok avtomatizira.

Strošek je resničen za gospodinjstvo z dvema tablicama in enim uporabnikom, kjer je skupna identiteta razumna odločitev, dokumentirana v enem stavku. Ni razumna za storitev, kjer je treba dostop umakniti po osebi ali po napravi, ker je zgodba o preklicu ves razlog za uporabo potrdil namesto gesla. Uvedbo ocenite po tem, kako pogosto naprave menjajo lastnika, ne po tem, koliko naprav je danes.

Registrirajte napravo, ne kopirajte ključa

Sodobne platforme hranijo zasebne ključe v zaščiteni shrambi, nekatere pa jih po zasnovi označijo kot neizvozljive. Prav ta lastnost naredi kopiranje od začetka nemogoče, in to je tudi razlog, da izvoženega paketa iz prenosnika ni mogoče preprosto znova uvoziti na tablico na noben podprt način. Poskus kljub temu ustvari profil, ki se namesti čisto in nato nikoli ne overi identitete.

Uporabite metodo registracije, ki jo uvedba že podpira: upravljani profil identitete, storitev SCEP ali tok na podlagi računa, ki na napravi izda nov ključ. Razširjanje zasebnega ključa potrditvene agencije za reševanje manjkajoče identitete je druga napaka z veliko večjim dosegom. Agencija izdaja poverilnice in nikoli ne bi smela potovati do končne točke.

Preverite preklic, preden odgovorite

Preden izberete skupno možnost, opišite, kako izgleda preklic najhujšega dneva. Če je odgovor eno dejanje, ki prizadene več naprav, se je zasnova že odločila proti vam.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Preglejte gradivo, ki ga res imate: ali je zasebni ključ prisoten, kaj pravi subjekt in ali je serijsko številko mogoče preklicati posamično. Datoteka potrdila brez svojega ključa ne more overiti ničesar, zato nekatere kopirane identitete spodletijo ob prvi povezavi.

Brisanje aplikacije s tablice ni preklic in strežnik še naprej sprejema identiteto, dokler je nekdo ne onemogoči. Zapišite ta stavek v runbook, preden je registrirana prva naprava.