وسوم الأجهزة ليست بيانات اعتماد VPN: ثلاث دعاوى يجب فصلها

أسماء المضيفين والأرقام التسلسلية وملفات العلامات المخفية تساعد في وسم حاسوب محمول، ولا يثبت أي منها أن الحاسوب الذي يقدم أحدها هو الجهاز المعتمد. يستند القبول إلى ثلاث دعاوى منفصلة: أن الأصل هو ما سجلته المؤسسة، وأن العميل يملك بيانات الاعتماد الصادرة له، وأن تلك البيانات محمية كما تقتضي السياسة. دمجها في فحص واحد هو الطريق الذي تتسلل منه الملفات المنسوخة والمفاتيح المستنسخة.

ثلاث دعاوى تُدمج في واحدة

يصف سجل الجرد الأصل ومالكه. يربط التسجيل بيانات اعتماد مناسبة بذلك السجل. وعند الاتصال يتحقق VPN من الإثبات الذي تتطلبه طريقته المهيأة. لا ينبغي لرقم تسلسلي يُكتب في نموذج تسجيل أن يحصل تلقائيا على تخويل ذلك الجهاز، لأن النموذج لا يثبت إلا أن شخصا يعرف الرقم التسلسلي. افصل الخطوات الثلاث ويمكن اختبار كل واحدة بمفردها.

ملف العلامة أسوأ من الرقم التسلسلي من وجه واحد: نسخه تافه، وكل نسخة تبدو مقنعة بالقدر نفسه.

انظر ماذا يقدم الجهاز فعلا

انظر إلى بيانات الاعتماد التي يخزنها العميل فعلا قبل أن تفترض أنها خاصة بالجهاز.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

تُظهر القائمة شهادات الأجهزة الموجودة وما إذا كان مفتاح خاص حاضرا، وهو الفرق بين ملف عام وبيانات اعتماد صالحة للاستخدام. ويضيف تفريغ المخزن اسم المزود، ومزود برمجي مقابل مزود تشفير منصة هو أول دليل على مكان المفتاح. الشهادة بلا مفتاحها الخاص لا تصادق على شيء، بينما تصدير مفتاح خاص إلى جهاز آخر يجعل بيانات الاعتماد قابلة للنقل مهما قال موضوعها. سجل البصمة والمزود بدلا من اسم العرض.

الحماية العتادية تحتاج إلى دليل

الشهادة معلومة عامة، لذا فالسؤال ذو المعنى هو أين يعيش المفتاح الخاص وهل شُهد على تلك الحماية. تصف شهادة مفتاح TPM مقدما للطلب يثبت لجهة إصدار الشهادات أن مفتاحا محمي بواسطة TPM موثوق، وهو أقوى من تسمية مزود عتادي في الطلب. وهي أيضا بنية لها افتراضات ثقة خاصة بها، وليست شيئا يمكّنه عميل VPN افتراضيا. تحقق مما تقبله جهة الإصدار وما تفرضه البوابة بشأن بيانات الاعتماد الناتجة، لأن التخزين والشهادة وسياسة القبول ثلاثة مكونات.

المفتاح المدعوم عتاديا لا يقول شيئا عن مستوى الترقيع أو الإسناد الحالي أو كيفية استخدام الجلسة. تلك تحتاج إلى ضوابط خاصة بها.

اجعل الاستبدال والإزالة ملموسين

خطط لما يحدث عندما يُفقد جهاز أو يُصلح أو يُعاد إسناده أو يُستبدل. تغيير اللوحة الأم أو مخزن مفاتيح ممسوح يتطلب عادة إعادة تسجيل مدعومة بدلا من نسخ أسرار قديمة لتقليد الجهاز الأصلي. سجل الأصل ومعرف بيانات الاعتماد والمالك وقرار التسجيل ودور الوصول معا، حتى يرى المسؤول التالي ما ينتمي إلى ماذا. أزل التخويل الذي تقبله البوابة فعلا، لأن تغيير حالة الجرد لا يثبت شيئا عن بيانات اعتماد أو جلسة قائمة.

ثم اختبر الحد: جهاز معتمد يتصل، وملصق منسوخ وحده لا يتصل، وهوية مسحوبة تتوقف عن العمل. الملف المسمى approved يبقى ملصقا حتى تمنحه عملية موثوقة معنى.