ทำไมการลงทะเบียน VPN จึงขอให้คุณไปที่สำนักงาน

การที่คุณถูกขอให้ไปปรากฏตัวด้วยตนเองเพื่อบัญชี VPN รู้สึกเหมือนเป็นข้อจำกัดทางเทคนิค และมันไม่ใช่เช่นนั้นเลย โปรโตคอลอุโมงค์ไม่มีความเห็นว่าคุณยืนอยู่ที่ไหน สิ่งที่การไปพบลงมือทำคือการตัดสินใจเกี่ยวกับตัวตน มีคนในองค์กรต้องมั่นใจว่าผู้ที่ได้รับข้อมูลรับรองคือบุคคลในทะเบียน การเข้าใจว่าการตัดสินใจใดต้องใช้ความมั่นใจนั้นคือสิ่งที่เปลี่ยนการถกเถียงเรื่องการเดินทางให้เป็นปัญหาที่แก้ได้

สามคำขอที่ดูคล้ายกัน

พนักงานใหม่ต้องมีการพิสูจน์ตัวตน การยืนยันคุณสมบัติ และการอนุมัติการเข้าถึง และไม่มีสิ่งใดมาจากคำขอใบรับรองหรือชื่อที่แสดงในอีเมล ผู้ใช้เดิมที่เปลี่ยนรหัสผ่านต้องมีวิธีที่ได้รับอนุมัติในการยืนยันการเปลี่ยนแปลง ซึ่งเป็นอีกคำถามหนึ่ง ผู้ที่สูญเสียเครื่องมือยืนยันตัวตนที่ยอมรับทั้งหมดต้องได้รับการกู้คืน และนั่นคือกรณีที่อันตรายที่สุดในสามกรณี เพราะผู้ที่ขออาจเป็นผู้แอบอ้างที่พยายามแทนที่หลักฐานซึ่งปกติจะหยุดเขาไว้

กรณีเหล่านี้ไม่ควรใช้ขั้นตอนไม่เป็นทางการเดียวกันโดยค่าเริ่มต้น การมีหมายเลขพนักงานหรือการเข้าถึงกล่องจดหมายที่ยังไม่ได้ยืนยันไม่ใช่สิ่งทดแทนการตรวจสอบที่องค์กรเลือก

การไปพบพิสูจน์อะไรและไม่พิสูจน์อะไร

การพิสูจน์ตัวตนเป็นกระบวนการที่มีขั้นตอน ไม่ใช่สถานที่ แนวทางเช่น แนวทางพิสูจน์ตัวตนของ NIST แยกการระบุตัวตน การตรวจสอบหลักฐานเบื้องหลัง และการยืนยันว่าผู้สมัครคือบุคคลที่หลักฐานเหล่านั้นอธิบายไว้ แต่ละขั้นตอนอาจมีหรือไม่มีผู้เข้าร่วม ทางไกลหรือที่สถานที่ และความมั่นใจขึ้นอยู่กับว่าทั้งหมดถูกดำเนินการอย่างไร การข้ามขั้นตอนคือการตัดสินใจเกี่ยวกับความเสี่ยง ไม่ใช่ทางลัดผ่านเอกสาร

การยืนยันในสำนักงานไม่ได้ดำเนินการขั้นตอนใดด้วยตัวเอง การโทรวิดีโอก็ไม่ได้ดำเนินการใดด้วยตัวเองเช่นกัน นั่นคือเหตุผลที่กระบวนการทางไกลไม่ได้อ่อนแอกว่าโดยอัตโนมัติ และกระบวนการที่สถานที่ก็ไม่ได้สมบูรณ์โดยอัตโนมัติ

ความมั่นใจนั้นเกิดจากผู้ปฏิบัติงานที่ได้รับการฝึกอบรม การจัดการหลักฐาน และการควบคุมทางเทคนิค และสถานที่เพียงจำกัดว่าสามารถนำไปใช้ได้อย่างไร โต๊ะในสำนักงานที่มีผู้ปฏิบัติงานที่ไม่ได้รับการฝึกอบรมไม่ใช่กระบวนการที่แข็งแกร่ง

ขอทางเลือกที่ได้รับอนุมัติ

หากการเดินทางไม่สะดวกจริง ให้ถามเจ้าของที่ได้รับมอบหมายว่ามีวิธีการทางไกลหรือการกู้คืนที่ได้รับอนุมัติอยู่แล้วหรือไม่ อย่าเจรจาข้อยกเว้นกับผู้ดูแลระบบรายบุคคล เพราะสิ่งนั้นสร้างข้อมูลรับรองที่ไม่มีใครตรวจสอบได้และแบบอย่างที่ไม่มีใครเห็นด้วย เส้นทางที่ได้รับอนุมัติมักมีเอกสารกำกับ แม้จะไม่มีใครขอเมื่อไม่นานมานี้

เมื่อจำเป็นต้องมีขั้นตอนที่สถานที่ ให้ค้นหาให้แน่ชัดว่าตอบสนองขั้นตอนใด การไปพบที่ตรวจสอบหลักฐานเป็นข้อกำหนดที่แตกต่างจากการไปพบที่เป็นพยานในการลงนาม และทั้งสองมีทางเลือกที่แตกต่างกัน

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

รักษาขั้นตอนต่อไปให้ชัดเจน

การตรวจสอบไม่ใช่จุดสิ้นสุดของกระบวนการ การอนุมัติการเข้าถึง การผูกข้อมูลรับรอง และการส่งมอบต่างต้องมีบันทึกของตัวเอง และขอบเขตของอุปกรณ์และทรัพยากรที่ตั้งใจควรเขียนไว้แทนที่จะสันนิษฐาน

รักษาเส้นทางการกู้คืนที่ได้รับอนุญาตไว้ด้วย เพราะผู้ใช้ที่ไม่สามารถกู้คืนได้จะหาเส้นทางที่ไม่เป็นทางการ จัดการข้อมูลรับรองที่เปิดเผยผ่านกระบวนการลบจริง การไปพบที่เสร็จสิ้นหรือการเปลี่ยนรหัสผ่านไม่ได้เพิกถอนเซสชันที่ใช้งานอยู่อื่นด้วยตัวเอง และช่องว่างนี้คือที่ที่เหตุการณ์ส่วนใหญ่ดำเนินต่อไป

คำถามที่ต้องนำกลับไปยังเจ้าของจึงแคบ: การตัดสินใจใดต้องใช้ความมั่นใจซึ่งหน้า และวิธีที่ได้รับอนุมัติในการบรรลุความมั่นใจเดียวกันเมื่อการเดินทางเป็นไปไม่ได้ คำถามนี้ตอบได้ แต่ข้อร้องเรียนเรื่องการเดินทางตอบไม่ได้