A ka nevojë një iPad për certifikatën e vet të klientit VPN?

Një iPad i ri i bashkohet ekipit, dhe rruga më e shpejtë është të eksportoni certifikatën ekzistuese të klientit dhe ta instaloni në tablet. Kjo funksionon derisa dikush largohet, humbet një pajisje ose kërkon një auditim që tregon cila pajisje u lidh dhe kur. Vendimi nuk është për skedarin e certifikatës, por për identitetin: nëse çdo pajisje mund të autorizohet dhe anulohet më vete. Kostoja dhe përpjekja e menaxhimit e vendosin përgjigjen, dhe të dyja janë më të vogla nga sa duken.

Lëshues i përbashkët, identitete të ndara

Çdo pajisje mund t'i besojë të njëjtit autoritet certifikimi dhe të lidhet me të njëjtin portë, ndërsa mban një identitet tjetër klienti. Lëshuesi është spirancë besimi, ndërsa identiteti është një çift çelësash, subjekti i të cilit serveri e harton në një politikë. Pikërisht ngatërrimi i të dyjave e bën një certifikatë të përbashkët të duket e padëmshme. Ajo mbetet e padëmshme vetëm derisa dikush duhet të dijë se cila pajisje hapi një sesion.

Ndarja e lëshuesit kursen punë konfigurimi dhe nuk ndryshon asgjë në përgjegjshmërinë për çdo pajisje. Ndarja e identitetit i palos të gjitha pajisjet në një njësi të vetme të anulueshme: anulimi i njërës anulon të gjitha, dhe autorizimi i një zëvendësi autorizon çdo kopje të çelësit të bërë ndonjëherë. Ky shkëmbim ia vlen të bëhet në mënyrë të hapur, në vend që të kopjohet një skedar sepse të premten pasdite është më shpejt.

Kur certifikata e dytë kushton shumë

Regjistrimi për çdo pajisje kushton një hap: një profil të menaxhuar, një kërkesë SCEP ose një import të udhëzuar me fjalëkalim njëpërdorimshëm. Kërkon gjithashtu një vend për të ndjekur numrat serialë dhe datat e skadimit, pjesa që shumica e vendosjeve e harrojnë derisa certifikata e parë skadon. Të dyja kostot janë njëherësh, dhe të dyja zvogëlohen sapo rrjedha e regjistrimit i automatizon ato.

Kostoja është reale për një familje me dy tablet dhe një përdorues të vetëm, ku një identitet i përbashkët është një vendim i arsyeshëm i dokumentuar në një fjali. Nuk është i arsyeshëm për një shërbim ku aksesi duhet t'i hiqet çdo personi ose çdo pajisjeje, sepse historia e anulimit është i gjithë arsyeja për të përdorur certifikata në vend të një fjalëkalimi. Gjykojeni vendosjen nga sa shpesh pajisjet ndryshojnë duar, jo nga sa pajisje ekzistojnë sot.

Regjistroni pajisjen, mos kopjoni çelësin

Platformat moderne i mbajnë çelësat privatë në një depo të mbrojtur, dhe disa i shënojnë si të paeksportueshëm nga dizajni. Është pikërisht kjo veti që e bën kopjimin të pamundur që në fillim, dhe është gjithashtu arsyeja pse një paketë e eksportuar nga një laptop nuk mund të riimportohet thjesht në një tablet në asnjë mënyrë të mbështetur. Përpjekja gjithsesi prodhon një profil që instalohet pastër dhe më pas nuk vërteton kurrë identitetin.

Përdorni metodën e regjistrimit që vendosja tashmë mbështet: një profil identiteti të menaxhuar, një shërbim SCEP ose një rrjedhë të bazuar në llogari që lëshon një çelës të ri në pajisje. Shpërndarja e çelësit privat të autoritetit të certifikimit për të zgjidhur një identitet që mungon është një gabim tjetër me një rreze ndikimi shumë më të madhe. Autoriteti lëshon kredenciale dhe nuk duhet të udhëtojë kurrë deri në pikën fundore.

Kontrolloni anulimin përpara se të përgjigjeni

Përpara se të zgjidhni opsionin e përbashkët, përshkruani si duket anulimi në ditën më të keqe. Nëse përgjigja është një veprim i vetëm që prek disa pajisje, dizajni tashmë ka vendosur kundër jush.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Shqyrtoni materialin që keni vërtet: nëse ka një çelës privat, çfarë thotë subjekti dhe nëse numri serial mund të anulohet individualisht. Një skedar certifikate pa çelësin e tij nuk mund të vërtetojë asgjë, dhe për këtë arsye disa identitete të kopjuara dështojnë në lidhjen e parë.

Fshirja e një aplikacioni nga tableti nuk është anulim, dhe serveri vazhdon ta pranojë identitetin derisa dikush ta çaktivizojë. Shkruajeni atë fjali në runbook përpara se të regjistrohet pajisja e parë.