Toestel-etikette is nie VPN-geloofsbriewe nie: drie aansprake om te skei

Gasheername, reeksnommers en versteekte merkerlêers help om ’n skootrekenaar te etiketteer, en nie een daarvan bewys dat die skootrekenaar wat een voorhou die goedgekeurde toestel is nie. Toelating berus op drie afsonderlike aansprake: die bate is die een wat die organisasie aangeteken het, die kliënt besit die geloofsbrief wat daarvoor uitgereik is, en daardie geloofsbrief is beskerm soos beleid vereis. Om hulle in een kontrole saam te voeg, is hoe gekopieerde lêers en gekloonde sleutels deurglip.

Drie aansprake wat in een saamgevoeg word

Die voorraadrekord beskryf die bate en sy eienaar. Inskrywing bind ’n gepaste geloofsbrief aan daardie rekord. Op verbindingstyd verifieer die VPN die bewys wat sy gekonfigureerde metode vereis. ’n Reeksnommer wat in ’n inskrywingsvorm ingetik word, behoort nie outomaties daardie toestel se magtiging te ontvang nie, want die vorm bewys net dat iemand die reeksnommer ken. Skei die drie stappe en elkeen kan op sy eie getoets word.

’n Merkerlêer is in een opsig slegter as ’n reeksnommer: om dit te kopieer is triviaal, en elke kopie lyk ewe oortuigend.

Kyk wat die toestel werklik voorhou

Kyk na die geloofsbrief wat die kliënt werklik stoor voordat jy aanneem dit is toestelspesifiek.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Die lys wys watter masjiensertifikate bestaan en of ’n private sleutel teenwoordig is, wat die verskil is tussen ’n openbare lêer en ’n bruikbare geloofsbrief. Die stoor-dump voeg die verskaffernaam by, en ’n sagtewareverskaffer teenoor ’n platformkriptoverskaffer is die eerste wenk oor waar die sleutel woon. ’n Sertifikaat sonder sy private sleutel verifieer niks, terwyl ’n private sleutel wat na ’n ander masjien uitgevoer is, die geloofsbrief draagbaar maak ongeag wat sy onderwerp sê. Teken die duimafdruk en verskaffer aan eerder as die vertoonnaam.

Hardewarebeskerming het bewyse nodig

’n Sertifikaat is openbare inligting, so die sinvolle vraag is waar die private sleutel woon en of daardie beskerming geattesteer is. TPM-sleutelattestasie beskryf ’n aanvraer wat aan ’n sertifikaatowerheid bewys dat ’n sleutel deur ’n vertroude TPM beskerm word, wat sterker is as om ’n hardewareverskaffer in ’n versoek te noem. Dit is ook ’n argitektuur met sy eie vertrouensveronderstellings, nie iets wat ’n VPN-kliënt by verstek aktiveer nie. Bevestig wat die uitreiker aanvaar en wat die poortwag oor die resulterende geloofsbrief afdwing, want stoor, attestasie en toelatingsbeleid is drie komponente.

’n Hardewaregesteunde sleutel sê steeds niks oor pleistervlak, huidige toewysing of hoe die sessie gebruik word nie. Dit het sy eie kontroles nodig.

Maak vervanging en verwydering konkreet

Beplan wat gebeur wanneer ’n toestel verloor, herstel, hertoegewys of vervang word. ’n Moederbordverandering of ’n uitgeveeg sleutelstoor vereis gewoonlik ’n ondersteunde herinskrywing eerder as om ou geheime te kopieer om die oorspronklike masjien na te boots. Teken die bate, geloofsbriefidentifiseerder, eienaar, inskrywingsbesluit en toegangsrol saam aan, sodat die volgende administrateur kan sien wat aan wat behoort. Verwyder die magtiging wat die poortwag werklik aanvaar, want om ’n voorraadstatus te verander bewys niks oor ’n bestaande geloofsbrief of sessie nie.

Toets dan die grens: ’n goedgekeurde toestel verbind, ’n gekopieerde etiket alleen nie, en ’n afgetrede identiteit hou op werk. ’n Lêer met die naam approved bly ’n etiket totdat ’n betroubare proses dit betekenis gee.