Varför VPN-registrering ber dig besöka kontoret

Att bli ombedd att infinna sig personligen för ett VPN-konto känns som en teknisk begränsning, och det är det verkligen inte. Tunnelprotokollet har ingen åsikt om var du står. Det besöket genomför är ett beslut om identitet: någon i organisationen måste vara övertygad om att personen som tar emot inloggningsuppgifterna är personen i registret. Att förstå vilket beslut som behöver den försäkran är det som gör en diskussion om resan till ett lösbart problem.

Tre förfrågningar som ser likadana ut

En nyanställd behöver få sin identitet fastställd, sin behörighet bekräftad och sin åtkomst godkänd, och inget av det följer av en certifikatförfrågan eller ett visat namn i ett e-postmeddelande. En befintlig användare som byter lösenord behöver ett godkänt sätt att autentisera ändringen, vilket är en helt annan fråga. Den som förlorat alla accepterade autentiseringsfaktorer behöver återhämtning, och det är det farligaste av de tre, eftersom den som frågar kan vara en bedragare som försöker ersätta bevisen som normalt skulle stoppa dem.

Dessa fall bör inte som standard dela en enda informell rutin. Att ha ett anställningsnummer eller åtkomst till en overifierad brevlåda ersätter inte den kontroll organisationen valde.

Vad ett besök bevisar och vad det inte bevisar

Identitetsbevis är en process med faser snarare än en plats. Riktlinjer som NIST:s riktlinjer för identitetsbevis skiljer på att fastställa en identitet, validera bevisen bakom den och verifiera att sökanden är den person som bevisen beskriver. Varje fas kan vara med eller utan närvaro, på distans eller på plats, och försäkran beror på hur alla genomförs. Att hoppa över en fas är ett beslut om risk, inte en genväg genom pappersarbete.

Att stå på ett kontor utför inte någon av dessa faser i sig. Ett videosamtal utför inte heller någon av dem i sig, och därför är en distansprocess inte automatiskt svagare och en process på plats inte automatiskt fullständig.

Försäkran bärs av utbildade operatörer, hantering av bevis och tekniska kontroller, och platsen begränsar bara hur de kan tillämpas. Ett skrivbord på ett kontor med en outbildad operatör är inte en stark process.

Be om det godkända alternativet

Om resan verkligen är opraktisk, fråga den utsedda ägaren om det redan finns en godkänd distansmetod eller återhämtningsmetod. Förhandla inte om ett undantag med en enskild administratör, eftersom det ger inloggningsuppgifter som ingen kan granska och ett prejudikat som ingen har accepterat. Den godkända vägen är vanligtvis dokumenterad, även när ingen har bett om den nyligen.

Där ett steg på plats krävs, ta reda på exakt vilken fas det uppfyller. Ett besök som verifierar bevis är ett annat krav än ett som bevittnar en underskrift, och de två har olika alternativ.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Håll de senare faserna uttryckliga

Verifiering är inte slutet på processen. Åtkomstgodkännande, bindning av inloggningsuppgifter och leverans behöver var sin registrering, och omfattningen av den avsedda enheten och resursen bör skrivas ned i stället för att antas.

Bevara också den auktoriserade återhämtningsvägen, eftersom en användare som inte kan återhämta sig hittar en informell. Hantera alla exponerade inloggningsuppgifter genom deras faktiska borttagningsprocess. Ett slutfört besök eller ett lösenordsbyte återkallar inte andra aktiva sessioner i sig, och det är i denna lucka de flesta incidenter fortsätter.

Frågan som ska tas tillbaka till ägaren är därför smal: vilket beslut kräver personlig försäkran, och vad är det godkända sättet att nå samma försäkran när resan är omöjlig. Den frågan kan besvaras, och ett klagomål om resan kan inte.