iPad có cần chứng chỉ máy khách VPN riêng không?

Một iPad mới gia nhập nhóm, và con đường nhanh nhất là xuất chứng chỉ máy khách hiện có rồi cài lên máy tính bảng. Cách đó hiệu quả cho đến khi có người rời đi, làm mất thiết bị hoặc yêu cầu một cuộc kiểm toán cho biết thiết bị nào đã kết nối và khi nào. Quyết định không nằm ở tệp chứng chỉ mà ở danh tính: liệu từng thiết bị có thể được cấp quyền và thu hồi riêng. Chi phí và công sức quản lý quyết định câu trả lời, và cả hai đều nhỏ hơn vẻ ngoài.

Cùng nhà phát hành, danh tính riêng

Mỗi thiết bị có thể tin cùng một tổ chức chứng thực và kết nối tới cùng một cổng vào trong khi giữ một danh tính máy khách khác. Nhà phát hành là mỏ neo tin cậy, còn danh tính là một cặp khóa mà máy chủ ánh xạ chủ thể của nó tới một chính sách. Chính việc lẫn lộn hai thứ này khiến một chứng chỉ dùng chung có vẻ vô hại. Nó chỉ vô hại cho đến khi ai đó cần biết thiết bị nào đã mở phiên.

Chia sẻ nhà phát hành tiết kiệm công cấu hình và không thay đổi gì trong trách nhiệm giải trình theo thiết bị. Chia sẻ danh tính gộp mọi thiết bị vào một đơn vị có thể thu hồi duy nhất: thu hồi một cái là thu hồi tất cả, và cấp quyền cho một bản thay thế là cấp quyền cho mọi bản sao khóa từng được tạo. Việc đánh đổi đó nên được thực hiện rõ ràng thay vì sao chép một tệp vì làm vậy nhanh hơn vào chiều thứ Sáu.

Khi chứng chỉ thứ hai tốn quá nhiều

Đăng ký theo từng thiết bị tốn một bước: một tải trọng được quản lý, một yêu cầu SCEP hoặc một lần nhập có hướng dẫn kèm mật khẩu dùng một lần. Nó cũng cần một nơi để theo dõi số sê-ri và ngày hết hạn, phần mà hầu hết các triển khai quên cho đến khi chứng chỉ đầu tiên hết hạn. Cả hai chi phí đều một lần, và cả hai đều giảm khi quy trình đăng ký tự động hóa chúng.

Chi phí là thật với một hộ gia đình có hai máy tính bảng và một người dùng, nơi danh tính dùng chung là quyết định hợp lý được ghi lại trong một câu. Nó không hợp lý với một dịch vụ mà quyền truy cập phải bị thu hồi theo từng người hoặc từng thiết bị, vì câu chuyện thu hồi chính là toàn bộ lý do dùng chứng chỉ thay cho mật khẩu. Hãy đánh giá triển khai theo tần suất thiết bị đổi chủ, không phải theo số thiết bị hiện có hôm nay.

Đăng ký thiết bị, đừng sao chép khóa

Các nền tảng hiện đại giữ khóa riêng trong kho được bảo vệ, và một số đánh dấu chúng là không thể xuất theo thiết kế. Chính đặc tính đó khiến việc sao chép không thể ngay từ đầu, và cũng là lý do một gói đã xuất từ máy tính xách tay không thể đơn giản nhập lại vào máy tính bảng theo bất kỳ cách nào được hỗ trợ. Dù vậy, cố gắng vẫn tạo ra một cấu hình cài đặt sạch sẽ rồi sau đó không bao giờ xác thực.

Hãy dùng phương thức đăng ký mà triển khai đã hỗ trợ: một tải trọng danh tính được quản lý, một dịch vụ SCEP hoặc một luồng dựa trên tài khoản phát hành khóa mới trên thiết bị. Phân phát khóa riêng của tổ chức chứng thực để giải quyết danh tính bị thiếu là một sai lầm khác với bán kính ảnh hưởng lớn hơn nhiều. Tổ chức đó phát hành thông tin xác thực và không bao giờ nên đi tới điểm cuối.

Kiểm tra việc thu hồi trước khi trả lời

Trước khi chọn phương án dùng chung, hãy mô tả việc thu hồi trông thế nào vào ngày tệ nhất. Nếu câu trả lời là một hành động ảnh hưởng tới nhiều thiết bị, thiết kế đã quyết định chống lại bạn.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Hãy kiểm tra vật liệu bạn thực sự có: liệu có khóa riêng, chủ thể nói gì và số sê-ri có thể thu hồi riêng không. Một tệp chứng chỉ không có khóa của nó không thể xác thực bất cứ điều gì, và đó là lý do một số danh tính sao chép thất bại ngay lần kết nối đầu.

Xóa một ứng dụng khỏi máy tính bảng không phải là thu hồi, và máy chủ vẫn tiếp tục chấp nhận danh tính cho đến khi ai đó vô hiệu hóa nó. Hãy viết câu đó vào sổ tay trước khi thiết bị đầu tiên được đăng ký.