Zakaj registracija VPN zahteva obisk pisarne

Zahteva, da se osebno zglasite za račun VPN, se zdi tehnična omejitev, pa ni nič takega. Protokol tunela nima mnenja o tem, kje stojite. Obisk uresničuje odločitev o identiteti: nekdo v organizaciji se mora prepričati, da je oseba, ki prejme poverilnice, oseba v evidenci. Razumevanje, katera odločitev potrebuje to zagotovilo, spremeni prepir o poti v rešljiv problem.

Tri zahteve, ki so videti enake

Novi sodelavec potrebuje ugotovljeno identiteto, potrjeno upravičenost in odobren dostop, in nič od tega ne izhaja iz zahteve za potrdilo ali prikazanega imena v e-pošti. Obstoječi uporabnik, ki menja geslo, potrebuje odobren način za overitev spremembe, kar je spet drugo vprašanje. Kdor je izgubil vse sprejete overitelje, potrebuje obnovitev, in to je najnevarnejše od treh, ker je prosilec lahko prevarant, ki poskuša zamenjati dokaze, ki bi ga običajno ustavili.

Ti primeri ne bi smeli privzeto deliti enega neformalnega postopka. Imeti številko zaposlenega ali dostop do nepreverjenega poštnega predala ni nadomestilo za preverjanje, ki ga je izbrala organizacija.

Kaj obisk dokaže in česa ne

Dokazovanje identitete je proces s stopnjami, ne kraj. Smernice, kot so smernice NIST za dokazovanje identitete, ločujejo ugotavljanje identitete, preverjanje dokazov za njo in potrjevanje, da je prosilec oseba, ki jo ti dokazi opisujejo. Vsaka stopnja je lahko s prisotnostjo ali brez, na daljavo ali na kraju samem, zagotovilo pa je odvisno od tega, kako se izvedejo vse. Preskok stopnje je odločitev o tveganju, ne bližnjica skozi papirologijo.

Stati v pisarni samo po sebi ne izvede nobene od teh stopenj. Tudi videoklic sam po sebi ne izvede nobene od njih, zato daljinski postopek ni samodejno šibkejši in postopek na kraju samem ni samodejno popoln.

Zagotovilo nosijo usposobljeni operaterji, ravnanje z dokazi in tehnične kontrole, lokacija pa le omejuje, kako jih je mogoče uporabiti. Pisalna miza v pisarni z neusposobljenim operaterjem ni močan postopek.

Zaprosite za odobreno alternativo

Če je pot resnično nepraktična, pri imenovanem lastniku preverite, ali že obstaja odobrena daljinska metoda ali metoda obnovitve. Ne pogajajte se o izjemi s posameznim skrbnikom, ker to ustvari poverilnice, ki jih nihče ne more revidirati, in precedens, s katerim se nihče ni strinjal. Odobrena pot je običajno dokumentirana, tudi ko je nihče ni nedavno zahteval.

Kjer je potreben korak na kraju samem, natančno ugotovite, katero stopnjo izpolnjuje. Obisk, ki preverja dokaze, je drugačna zahteva kot tisti, ki je priča podpisu, in oba imata različne alternative.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Ohranite poznejše stopnje izrecne

Preverjanje ni konec postopka. Odobritev dostopa, vezava poverilnic in dostava vsaka potrebujejo svoj zapis, obseg predvidene naprave in vira pa je treba zapisati, ne pa predpostaviti.

Ohranite tudi odobreno pot obnovitve, ker bo uporabnik, ki se ne more obnoviti, našel neformalno. Z vsakimi razkritimi poverilnicami ravnajte skozi njihov dejanski postopek odstranitve. Zaključen obisk ali sprememba gesla sama po sebi ne prekliče drugih aktivnih sej, in prav v tej vrzeli se nadaljuje večina incidentov.

Vprašanje, ki ga je treba prinesti lastniku, je zato ozko: katera odločitev potrebuje osebno zagotovilo in kakšna je odobrena pot do enakega zagotovila, ko pot ni mogoča. Na to vprašanje je mogoče odgovoriti, na pritožbo glede poti pa ne.