Чому реєстрація VPN просить вас прийти до офісу

Прохання особисто прийти за обліковим записом VPN здається технічним обмеженням, але це зовсім не так. Протоколу тунелю байдуже, де ви стоїте. Візит реалізує рішення про ідентичність: хтось в організації має переконатися, що отримувач облікових даних — це людина із запису. Розуміння того, яке рішення потребує такої впевненості, і перетворює суперечку про поїздку на розв'язну задачу.

Три запити, що виглядають однаково

Новому співробітнику потрібно встановити особу, підтвердити право й схвалити доступ, і жодне з цього не випливає із запиту на сертифікат або показаного імені в листі. Чинному користувачеві, який змінює пароль, потрібен схвалений спосіб підтвердити зміну, і це вже інше питання. Той, хто втратив усі прийняті засоби автентифікації, потребує відновлення, і це найнебезпечніше з трьох, бо прохач може бути шахраєм, який намагається підмінити докази, що зазвичай його зупинили б.

Ці випадки не повинні за замовчуванням ділити одну неформальну процедуру. Наявність табельного номера або доступ до неперевіреної поштової скриньки не замінює перевірку, яку обрала організація.

Що доводить візит, а що ні

Доведення особи — це процес з етапами, а не місце. Такі настанови, як настанова NIST щодо доведення особи, розділяють встановлення особи, перевірку доказів за нею та підтвердження, що заявник — це людина, яку описують ці докази. Кожен етап може бути з присутністю або без, віддалено або на місці, і впевненість залежить від того, як виконуються всі. Пропуск етапу — це рішення про ризик, а не короткий шлях через паперову роботу.

Стояння в офісі саме по собі не виконує жодного з цих етапів. Відеодзвінок також сам по собі не виконує жодного з них, тому віддалений процес не стає автоматично слабшим, а процес на місці — автоматично повним.

Впевненість забезпечують навчені оператори, робота з доказами й технічні засоби контролю, а місце лише обмежує те, як їх можна застосувати. Стіл в офісі з ненавченим оператором — не сильний процес.

Попросіть схвалену альтернативу

Якщо поїздка справді непрактична, з'ясуйте у призначеного власника, чи вже існує схвалений віддалений спосіб або спосіб відновлення. Не домовляйтеся про виняток з окремим адміністратором, бо це створює облікові дані, які ніхто не може перевірити, і прецедент, з яким ніхто не погодився. Схвалений шлях зазвичай задокументовано, навіть коли ніхто нещодавно його не просив.

Там, де потрібен етап на місці, з'ясуйте точно, який етап він задовольняє. Візит, що перевіряє докази, — це інша вимога, ніж візит, що засвідчує підпис, і обидва мають різні альтернативи.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Тримайте подальші етапи явними

Перевірка — не кінець процесу. Схвалення доступу, прив'язка облікових даних і доставка кожне потребують власного запису, а обсяг передбаченого пристрою й ресурсу слід записати, а не припускати.

Збережіть і схвалений шлях відновлення, бо користувач, який не може відновитися, знайде неформальний. З будь-якими розкритими обліковими даними працюйте через їхній фактичний процес видалення. Завершений візит або зміна пароля самі по собі не відкликають інші активні сеанси, і саме в цій прогалині триває більшість інцидентів.

Питання, яке треба принести власнику, тому вузьке: яке рішення потребує особистої впевненості й який схвалений спосіб досягти тієї самої впевненості, коли поїздка неможлива. На це питання можна відповісти, а на скаргу про поїздку — ні.