Cihaz etiketləri VPN kredensialları deyil: ayırmaq lazım olan üç iddia

Host adları, seriya nömrələri və gizli marker faylları noutbuku etiketləməyə kömək edir və onların heç biri həmin etiketi təqdim edən noutbukun təsdiqlənmiş cihaz olduğunu sübut etmir. Qəbul üç ayrı iddiaya dayanır: aktivin təşkilatın qeyd etdiyi aktiv olması, müştərinin onun üçün verilmiş kredensialı saxlaması və həmin kredensialın siyasətin tələb etdiyi kimi qorunması. Onları bir yoxlamada birləşdirmək kopyalanmış faylların və klonlanmış açarların keçib getməsinin yoludur.

Bir yoxlamada birləşdirilən üç iddia

İnventar qeydi aktivi və onun sahibini təsvir edir. Qeydiyyat uyğun kredensialı həmin qeydə bağlayır. Bağlantı zamanı VPN konfiqurasiya edilmiş metodunun tələb etdiyi sübutu yoxlayır. Qeydiyyat formasına yazılan seriya nömrəsi avtomatik olaraq həmin cihazın icazəsini almamalıdır, çünki forma yalnız kiminsə seriya nömrəsini bildiyini sübut edir. Üç addımı ayırın və hər birini ayrıca yoxlamaq mümkün olur.

Marker faylı bir cəhətdən seriya nömrəsindən pisdir: onu kopyalamaq çox asandır və hər kopya eyni dərəcədə inandırıcı görünür.

Cihazın həqiqətən nə təqdim etdiyinə baxın

Kredensialın cihaza xas olduğunu fərz etməzdən əvvəl müştərinin həqiqətən saxladığı kredensiala baxın.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Siyahı hansı maşın sertifikatlarının mövcud olduğunu və şəxsi açarın olub-olmadığını göstərir, bu da açıq fayl ilə istifadə oluna bilən kredensial arasındakı fərqdir. Anbarın çıxarışı provayder adını əlavə edir və proqram provayderi ilə platforma kripto provayderi arasındakı fərq açarın harada yaşadığına dair ilk işarədir. Şəxsi açarı olmayan sertifikat heç nəyi autentifikasiya etmir, halbuki şəxsi açarın başqa maşına ixrac edilməsi kredensialı daşınan edir, onun subyekti nə deyirsə desin. Ekran adı yerinə barmaq izini və provayderi qeyd edin.

Aparat qoruması sübut tələb edir

Sertifikat açıq məlumatdır, ona görə mənalı sual şəxsi açarın harada yaşadığı və həmin qorumanın təsdiqlənib-təsdiqlənmədiyidir. TPM açar attestasiyası sorğu göndərənin sertifikat orqanına açarın etibarlı TPM tərəfindən qorunduğunu sübut etməsini təsvir edir ki, bu da sorğuda aparat provayderinin adını çəkməkdən güclüdür. O, həm də öz etimad fərziyyələri olan bir arxitekturadır, VPN müştərisinin standart olaraq aktivləşdirdiyi bir şey deyil. Verənin nəyi qəbul etdiyini və şlüzun yaranan kredensialla bağlı nəyi tətbiq etdiyini təsdiqləyin, çünki saxlama, attestasiya və qəbul siyasəti üç komponentdir.

Aparatla dəstəklənən açar yenə də yamaq səviyyəsi, cari təyinat və ya sessiyanın necə istifadə edildiyi barədə heç nə demir. Bunların öz nəzarətləri lazımdır.

Əvəzləmə və silinməni konkret edin

Cihaz itirildikdə, təmir edildikdə, yenidən təyin edildikdə və ya əvəz edildikdə nə olacağını planlaşdırın. Ana plata dəyişikliyi və ya silinmiş açar anbarı adətən köhnə sirləri kopyalayaraq orijinal maşını təqlid etmək əvəzinə dəstəklənən yenidən qeydiyyat tələb edir. Aktivi, kredensial identifikatorunu, sahibi, qeydiyyat qərarını və giriş rolunu birlikdə qeyd edin ki, növbəti administrator nəyin nəyə aid olduğunu görsün. Şlüzun həqiqətən qəbul etdiyi icazəni silin, çünki inventar statusunu dəyişmək mövcud kredensial və ya sessiya barədə heç nə sübut etmir.

Sonra sərhədi yoxlayın: təsdiqlənmiş cihaz qoşulur, tək kopyalanmış etiket qoşulmur və ləğv edilmiş şəxsiyyət işləməyi dayandırır. approved adlı fayl etibarlı proses ona məna verənə qədər etiket olaraq qalır.