فشل تسجيل الدخول بـ PIV على Windows مع EAP-TLS؟ تحقّق من مسار التوقيع

أظهر شهادة بطاقة PIV في كل نافذة حوار على Windows، وقد يفشل تسجيل الدخول إلى VPN مع ذلك، لأن الظهور والصلاحية للاستخدام خاصيتان مختلفتان. الشهادة كائن عام؛ أما تسجيل الدخول فيحتاج إلى عملية مفتاح خاص تنفّذها البطاقة وفق قواعد الوصول الخاصة بها. بين هاتين الحقيقتين تقع أربع مراحل تفشل بأربع طرق مختلفة: اختيار الملف الشخصي، واختيار الشهادة، والتوقيع المحلي، والتحقق من جهة الخادم. وتتبُّعها بالترتيب يحوّل خطأ مصافحة عامًا إلى سؤال محدد لمن يملك الجزء التالي.

ابدأ بالملف الشخصي وطريقة EAP

افتح خصائص الاتصال واقرأ طريقة EAP التي يستخدمها الملف الشخصي فعليًا، ثم اقرأ الشهادة التي ضُبطت الطريقة لاختيارها. كثير من عمليات النشر لديها طريقة خارجية قائمة على الشهادة وطريقة داخلية معًا، والشهادة المضبوطة على مستوى الاتصال ليست تلقائيًا هي المعروضة داخل EAP-TLS. وإذا كان الملف الشخصي يختار الشهادة بحسب الجهة المُصدِرة أو بحسب مرشِّح الموضوع، فإن ذلك المرشِّح يختار مما يستطيع Windows رؤيته في المخزن المعني، لا مما تحتويه البطاقة. والمرشِّح الذي لا يطابق شيئًا يعود إلى مطالبة أو إلى فشل صامت بحسب إعداد الملف الشخصي، ولهذا يستحق بصمة الشهادة المختارة التسجيل قبل أي تغيير.

حدِّد أيضًا ما إذا كان الاتصال يعمل بحساب المستخدم المسجَّل الدخول أو بحساب الجهاز. هذه الحقيقة الواحدة تحدِّد مخازن الشهادات الداخلة في النطاق وسياق الأمان الذي ينفّذ التوقيع.

تأكَّد من الشهادة التي اختِيرَت

قارن بصمة الشهادة التي اختارها Windows بالمتطلبات: استخدام مصادقة العميل، وسلسلة تنتهي عند جذر موثوق، وهوية تعيّنها سياسة خادم المصادقة، وفترة صلاحية تغطي اللحظة الفعلية للمحاولة. هذه فحوص منفصلة، والأخيرة تلتقط مفاجآت أكثر مما يتوقع الناس، خصوصًا مع الشهادات الصادرة على أساس متجدِّد والملفات الشخصية المخزَّنة مؤقتًا التي ما زالت تشير إلى اختيار الأمس.

سياق المستخدم وسياق الجهاز هو النصف الآخر من الفحص. فشهادة في مخزن المستخدم الشخصي تكون غير مرئية لخدمة تعمل بحساب الجهاز، وشهادة الجهاز لا تعرضها مصافحة EAP في وضع المستخدم ما لم ينص الملف الشخصي على ذلك. وإعادة استيراد شهادة إلى المخزن الخاطئ تُنتج شهادة مرئية وبيان اعتماد تسجيل دخول غير مرئي. اقرأ مسار المخزن في الملف الشخصي، لا المسار في نافذة الحوار التي فُتحت صدفة.

اختبر عملية المفتاح دون تخمين رقم PIN

بعد أن يُحسم الاختيار، يصبح السؤال هو هل ستنفّذ البطاقة التوقيع. يحتاج Windows إلى موفِّر بطاقة مدعوم أو برنامج تشغيل صغير للوصول إلى المفتاح الخاص، ويطبّق الجهاز قواعد رقم PIN والحضور الخاصة به على العملية. والبطاقة المضبوطة لتطلب لمسة عند كل توقيع تتصرف بشكل مختلف عن بطاقة تخزّن التحقق لجلسة كاملة، وكلتاهما إعدادان مشروعان يغيّران وقت ظهور المطالبة. وهذا الاختلاف يفسّر تسجيل دخول ينجح عند إدخال جديد ويفشل بعد استئناف، دون أن تكون أي شهادة خاطئة.

certutil.exe -scinfo
certutil.exe -store -user My
Get-WinEvent -LogName Application -MaxEvents 40 | Where-Object ProviderName -like '*Ras*'

يسرد الأمر الأول محتويات البطاقة ويبلّغ عن حالة القارئ والموفِّر، وهو موثَّق في إرشادات تصحيح أخطاء البطاقات الذكية الخاصة بـ Microsoft. ويسرد الثاني ما يستطيع سياق المستخدم رؤيته فعليًا. ولا يثبت أي منهما مصادقة ناجحة؛ بل يضيّق كلاهما موضع التوقف.

لا تخمّن رقم PIN. تفرض البطاقات حدودًا لإعادة المحاولة، وقد تحوّل بضع محاولات متفائلة مشكلة أذونات إلى بيان اعتماد محظور يحتاج إلى استعادة إدارية. وإذا فشل توقيع محلي، فالتقط حالة الموفِّر وحالة البطاقة بدلًا من تجربة صيغ مختلفة. أعد المحاولة مرة واحدة بالملف الشخصي نفسه والشهادة نفسها ومسار قارئ معروف السلامة، ثم قارن السجلين؛ فتغيير عدة متغيرات دفعة واحدة ينتج رواية لا نتيجة.

اقرأ طرفي المصافحة

التوقيع المكتمل ليس إدخالًا بعد. يجب أن يقبل خادم المصادقة السلسلة، ويفحص الإلغاء، ويعيّن الهوية وفق قواعده الحالية، ويأذن بالطلب؛ وعلى العميل في المقابل أن يتحقق من شهادة الخادم كما يشترط الملف الشخصي. وتنبيه TLS الصادر من الخادم يبدو في سجل العميل مطابقًا لتنبيه صادر محليًا، ولهذا يهمّ الطرف المُصدِر أكثر من نص التنبيه.

اجمع أحداث Windows والأحداث من جهة الخادم بطوابع زمنية متوافقة، ثم حدِّد أي طرف أنتج الفشل الأول. يصف RFC 5216 خطوة إثبات الحيازة في EAP-TLS، والتنبيه العام في المصافحة لا يسمّي بذاته سببًا محليًا متعلقًا بالمفتاح. ومقارنة الطوابع الزمنية هي ما يحوّل سجلين إلى تسلسل.

أبقِ الحدود واضحة في التقرير

اكتب التقرير بأربع مراحل ولكل مرحلة حكم واحد: أي ملف شخصي وسياق عمل، وأي شهادة اختارها Windows، وهل وقّعت البطاقة، وما قرّره الخادم. هذا الهيكل يجعل الخطوة التالية واضحة ويمنع الإصلاح الشائع بتعطيل التحقق لتجاوز مرحلة لم يحدِّدها أحد.

شهادة برمجية للمقارنة المؤقتة اختبار إداري مشروع، لكنها تغيّر نموذج بيان الاعتماد والضمان، فمكانها تغيير معتمد لا حلّ عمل صامت في بيئة الإنتاج. والانضباط نفسه ينطبق على محاولات PIN وعلى إعادة إصدار بيانات الاعتماد قبل معرفة المرحلة الفاشلة. والبطاقة البديلة التي تفشل بالطريقة نفسها دليل مكلف على أن المشكلة لم تكن في البطاقة أبدًا.