Зашто регистрација VPN-а тражи да посетите канцеларију

Захтев да се лично појавите због VPN налога изгледа као техничко ограничење, а то није ништа од тога. Протокол тунела нема мишљење о томе где стојите. Посета спроводи одлуку о идентитету: неко у организацији мора бити уверен да је особа која прима приступне податке она особа у регистру. Разумевање која одлука захтева то уверење претвара расправу о путовању у решив проблем.

Три захтева која изгледају исто

Новом запосленом треба утврдити идентитет, потврдити право и одобрити приступ, и ништа од тога не произилази из захтева за сертификат или приказаног имена у имејлу. Постојећем кориснику који мења лозинку потребан је одобрен начин да потврди промену, што је опет друго питање. Онај ко је изгубио сва прихваћена средства провере има потребу за опоравком, и то је најопасније од три, јер особа која тражи може бити преварант који покушава да замени доказе који би га иначе зауставили.

Ови случајеви не треба подразумевано да деле један неформални поступак. Поседовање броја запосленог или приступ непровереном сандучету није замена за проверу коју је организација изабрала.

Шта посета доказује, а шта не

Доказивање идентитета је процес са фазама, а не место. Упутства као упутства NIST-а за доказивање идентитета одвајају утврђивање идентитета, валидацију доказа иза њега и проверу да је подносилац особа коју ти докази описују. Свака фаза може бити са присуством или без, на даљину или на лицу места, а уверење зависи од тога како се све изводе. Прескакање фазе је одлука о ризику, а не пречица кроз папирологију.

Стајање у канцеларији само по себи не изводи ниједну од тих фаза. Ни видео позив сам по себи не изводи ниједну од њих, зато удаљени процес није аутоматски слабији, а процес на лицу места није аутоматски потпун.

Уверење носе обучени оператери, руковање доказима и техничке контроле, а локација само ограничава како се оне могу применити. Радни сто у канцеларији са необученим оператером није јак процес.

Затражите одобрену алтернативу

Ако је путовање заиста непрактично, проверите код именованог власника да ли већ постоји одобрен удаљени или метод опоравка. Не преговарајте о изузетку са појединачним администратором, јер то ствара приступне податке које нико не може да ревидира и преседан са којим се нико није сагласио. Одобрен пут је обично документован, чак и када га нико није тражио недавно.

Где је потребан корак на лицу места, проверите тачно коју фазу он задовољава. Посета која проверава доказе је другачији захтев од оне која сведочи потпис, и обе имају различите алтернативе.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Држите касније фазе експлицитним

Провера није крај процеса. Одобрење приступа, повезивање приступних података и достава свако траже сопствени запис, а обим предвиђеног уређаја и ресурса треба записати, а не претпоставити.

Сачувајте и одобрени пут опоравка, јер корисник који не може да се опорави наћи ће неформални. Са сваким изложеним приступним податком поступајте кроз његов стварни процес уклањања. Завршена посета или промена лозинке сама по себи не опозива друге активне сесије, и управо у тој празнини се наставља већина инцидената.

Питање које треба вратити власнику је зато уско: која одлука захтева лично уверење и који је одобрени начин да се исто уверење постигне када је путовање немогуће. На то питање се може одговорити, а на жалбу због путовања не.