Vì sao việc đăng ký VPN yêu cầu bạn đến văn phòng

Việc được yêu cầu có mặt trực tiếp vì một tài khoản VPN có vẻ như là một hạn chế kỹ thuật, và hoàn toàn không phải vậy. Giao thức đường hầm không có ý kiến gì về nơi bạn đứng. Điều mà chuyến thăm thực hiện là một quyết định về danh tính: ai đó trong tổ chức phải được thuyết phục rằng người nhận thông tin xác thực chính là người trong hồ sơ. Hiểu quyết định nào cần sự bảo đảm đó chính là điều biến cuộc tranh luận về chuyến đi thành một vấn đề có thể giải quyết.

Ba yêu cầu trông giống nhau

Một nhân viên mới cần được xác lập danh tính, xác nhận tính đủ điều kiện và phê duyệt quyền truy cập, và không điều nào trong số đó xuất phát từ một yêu cầu chứng chỉ hay một tên hiển thị trong email. Một người dùng hiện có đang đổi mật khẩu cần một cách được phê duyệt để xác thực thay đổi, đây lại là một câu hỏi khác. Người đã mất tất cả các phương thức xác thực được chấp nhận cần được khôi phục, và đó là trường hợp nguy hiểm nhất trong ba, vì người yêu cầu có thể là kẻ mạo danh đang cố thay thế bằng chứng mà thông thường sẽ chặn họ lại.

Những trường hợp này không nên mặc định dùng chung một thủ tục không chính thức. Việc có số nhân viên hay quyền truy cập vào một hộp thư chưa được xác minh không thay thế cho việc kiểm tra mà tổ chức đã chọn.

Một chuyến thăm chứng minh điều gì và không chứng minh điều gì

Chứng minh danh tính là một quá trình có các giai đoạn chứ không phải một địa điểm. Các hướng dẫn như hướng dẫn chứng minh danh tính của NIST tách việc giải quyết danh tính, xác thực bằng chứng đằng sau nó và xác minh rằng người nộp đơn chính là người mà bằng chứng đó mô tả. Mỗi giai đoạn có thể có hoặc không có sự tham gia, từ xa hoặc tại chỗ, và sự bảo đảm phụ thuộc vào cách tất cả chúng được thực hiện. Bỏ qua một giai đoạn là một quyết định về rủi ro, không phải một lối tắt qua giấy tờ.

Đứng trong một văn phòng tự nó không thực hiện bất kỳ giai đoạn nào trong số đó. Một cuộc gọi video cũng không tự nó thực hiện bất kỳ giai đoạn nào, vì vậy một quy trình từ xa không tự động yếu hơn và một quy trình tại chỗ không tự động đầy đủ.

Sự bảo đảm được mang lại bởi những người vận hành được đào tạo, việc xử lý bằng chứng và các kiểm soát kỹ thuật, và địa điểm chỉ giới hạn cách chúng có thể được áp dụng. Một chiếc bàn trong văn phòng với người vận hành chưa được đào tạo không phải là một quy trình mạnh.

Hãy yêu cầu phương án thay thế được phê duyệt

Nếu chuyến đi thực sự không thực tế, hãy hỏi chủ sở hữu được chỉ định xem đã có phương thức từ xa hoặc khôi phục được phê duyệt chưa. Đừng thương lượng một ngoại lệ với một quản trị viên riêng lẻ, vì điều đó tạo ra thông tin xác thực mà không ai có thể kiểm toán và một tiền lệ mà không ai đồng ý. Con đường được phê duyệt thường được ghi lại, ngay cả khi gần đây không ai yêu cầu.

Khi cần một bước tại chỗ, hãy tìm hiểu chính xác nó đáp ứng giai đoạn nào. Một chuyến thăm xác minh bằng chứng là một yêu cầu khác với một chuyến thăm chứng kiến chữ ký, và hai bên có các lựa chọn thay thế khác nhau.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Giữ các giai đoạn sau rõ ràng

Việc xác minh không phải là kết thúc của quá trình. Phê duyệt quyền truy cập, liên kết thông tin xác thực và phân phối mỗi thứ cần hồ sơ riêng, và phạm vi của thiết bị và tài nguyên dự định phải được viết ra thay vì giả định.

Cũng hãy giữ con đường khôi phục được ủy quyền, vì người dùng không thể khôi phục sẽ tìm thấy một con đường không chính thức. Xử lý bất kỳ thông tin xác thực bị lộ nào thông qua quy trình loại bỏ thực tế của nó. Một chuyến thăm đã hoàn thành hoặc một lần đổi mật khẩu tự nó không thu hồi các phiên hoạt động khác, và chính trong khoảng trống đó mà hầu hết các sự cố tiếp diễn.

Do đó câu hỏi cần mang về cho chủ sở hữu là hẹp: quyết định nào cần sự bảo đảm trực tiếp, và đâu là con đường được phê duyệt để đạt được cùng sự bảo đảm đó khi không thể đi lại. Câu hỏi đó có thể được trả lời, còn lời phàn nàn về chuyến đi thì không.