Windows-da EAP-TLS ilə PIV girişi alınmır? İmzalama yolunu yoxlayın

PIV kartının sertifikatını hər Windows dialoqunda göstərin, VPN girişi yenə də alınmaya bilər, çünki görünmə və istifadəyə yararlılıq fərqli xüsusiyyətlərdir. Sertifikat açıq obyektdir; giriş isə kartın öz giriş qaydaları çərçivəsində yerinə yetirdiyi özəl açar əməliyyatını tələb edir. Bu iki fakt arasında dörd fərqli şəkildə uğursuz olan dörd mərhələ dayanır: profil seçimi, sertifikat seçimi, yerli imzalama və server tərəfində doğrulama. Onları ardıcıl keçmək ümumi əl sıxma xətasını növbəti hissənin sahibinə verilən konkret suala çevirir.

Profildən və EAP metodundan başlayın

Bağlantının xassələrini açın və profilin həqiqətən hansı EAP metodundan istifadə etdiyini oxuyun, sonra metodun hansı sertifikatı seçmək üçün konfiqurasiya edildiyini oxuyun. Bir çox yerləşdirmədə həm sertifikata əsaslanan xarici metod, həm də daxili metod olur və bağlantı səviyyəsində konfiqurasiya edilmiş sertifikat avtomatik olaraq EAP-TLS daxilində təqdim edilən sertifikat deyil. Profil sertifikatı verən tərəfə və ya subyekt filtrinə görə seçirsə, bu filtr Windows-un müvafiq anbarda gördüyündən seçir, kartın təsadüfən saxladığından deyil. Heç nəyə uyğun gəlməyən filtr profilin konfiqurasiyasından asılı olaraq sorğuya və ya səssiz uğursuzluğa qayıdır, buna görə seçilmiş barmaq izini hər hansı dəyişiklikdən əvvəl qeyd etməyə dəyər.

Bağlantının daxil olmuş istifadəçi kimi, yoxsa maşın kimi işlədiyini də müəyyən edin. Bu tək fakt hansı sertifikat anbarlarının əhatə dairəsində olduğunu və imzanı hansı təhlükəsizlik kontekstinin yerinə yetirdiyini müəyyən edir.

Hansı sertifikatın seçildiyini təsdiqləyin

Windows-un seçdiyi barmaq izini tələblə müqayisə edin: müştəri autentifikasiyası istifadəsi, etibarlı kökdə bitən zəncir, autentifikasiya serverinin siyasətinin xəritələdiyi kimlik və cəhdin faktiki anını əhatə edən etibarlılıq müddəti. Bunlar ayrı yoxlamalardır və sonuncusu insanların gözlədiyindən çox sürpriz tutur, xüsusən də dövri əsasda verilən sertifikatlar və hələ də dünənki seçimə işarə edən keşlənmiş profillərlə.

İstifadəçi və maşın konteksti yoxlamanın digər yarısıdır. İstifadəçinin şəxsi anbarındakı sertifikat maşın kimi işləyən xidmət üçün görünməzdir, və maşın sertifikatı profil bunu deməzsə, istifadəçi rejimli EAP mübadiləsi tərəfindən təqdim edilmir. Sertifikatı yanlış anbara yenidən idxal etmək görünən sertifikat və görünməyən giriş etimadnaməsi yaradır. Profildəki anbar yolunu oxuyun, təsadüfən açılmış dialoqdakını deyil.

PIN-i təxmin etmədən açar əməliyyatını sınaqdan keçirin

Seçim həll olunduqdan sonra sual kartın imzanı yerinə yetirib-yetirməyəcəyidir. Windows-un özəl açara çatması üçün dəstəklənən kart provayderi və ya minidriver lazımdır və cihaz öz PIN və iştirak qaydalarını əməliyyata tətbiq edir. Hər imza üçün toxunuş tələb edən kart sessiya üçün yoxlamanı keşləyən kartdan fərqli davranır və hər ikisi sorğunun nə vaxt görünəcəyini dəyişən qanuni konfiqurasiyalardır. Bu fərq heç bir sertifikat səhv olmadan təzə taxıldıqda uğurlu, fasilədən sonra isə uğursuz olan girişi izah edir.

certutil.exe -scinfo
certutil.exe -store -user My
Get-WinEvent -LogName Application -MaxEvents 40 | Where-Object ProviderName -like '*Ras*'

Birinci əmr kartın inventarını çıxarır və oxuyucu ilə provayderin vəziyyətini bildirir, bu da Microsoft-un ağıllı kart nasazlıqlarının aradan qaldırılması təlimatında sənədləşdirilib. İkinci əmr istifadəçi kontekstinin həqiqətən nə görə bildiyini sadalayır. Heç biri uğurlu autentifikasiyanı sübut etmir; hər ikisi harada dayandığını daraldır.

PIN-i təxmin etməyin. Kartlar təkrar cəhd limitləri tətbiq edir və bir neçə nikbin cəhd icazə problemini inzibati bərpa tələb edən bloklanmış etimadnaməyə çevirir. Yerli imza uğursuz olarsa, variantları sınamaq əvəzinə provayder statusunu və kartın vəziyyətini qeyd edin. Cəhdi eyni profil, eyni sertifikat və yaxşı bilinən oxuyucu yolu ilə bir dəfə təkrarlayın, sonra iki qeydi müqayisə edin; bir neçə dəyişəni eyni vaxtda dəyişmək nəticə deyil, hekayə yaradır.

Əl sıxmanın hər iki tərəfini oxuyun

Tamamlanmış imza hələ qəbul deyil. Autentifikasiya serveri zənciri qəbul etməli, ləğvi yoxlamalı, kimliyi cari qaydalarına uyğun xəritələməli və sorğuya icazə verməlidir; müştəri də öz növbəsində serverin sertifikatını profilin tələb etdiyi kimi doğrulamalıdır. Server tərəfindən yaradılan TLS xəbərdarlığı müştərinin jurnalında yerli yaradılmışdan fərqlənmir, buna görə xəbərdarlıq mətnindən çox onu yayan tərəf vacibdir.

Windows hadisələrini və server tərəfindəki hadisələri uyğunlaşdırılmış vaxt damğaları ilə toplayın, sonra ilk uğursuzluğu hansı tərəfin yaratdığını müəyyən edin. RFC 5216 EAP-TLS-də sahibliyin sübutu addımını təsvir edir və ümumi əl sıxma xəbərdarlığı təkbaşına yerli açar səbəbini adlandırmır. Vaxt damğalarının müqayisəsi iki jurnalı ardıcıllığa çevirən şeydir.

Hesabatda sərhədləri düzgün saxlayın

Hesabatı dörd mərhələ və hər biri üçün bir hökm kimi yazın: hansı profil və kontekst işlədi, Windows hansı sertifikatı seçdi, kart imzaladımı və server nə qərara gəldi. Bu struktur növbəti addımı aydın edir və heç kimin müəyyən etmədiyi mərhələni keçmək üçün doğrulamanı söndürmək kimi geniş yayılmış təmirin qarşısını alır.

Müvəqqəti müqayisə üçün proqram sertifikatı qanuni administrator sınağıdır, lakin etimadnamə və təminat modelini dəyişir, ona görə də səssiz istehsalat iş dövrəsi deyil, təsdiqlənmiş dəyişiklik içində yer almalıdır. Eyni intizam PIN cəhdlərinə və uğursuz mərhələ bilinməzdən əvvəl etimadnamələrin yenidən verilməsinə də aiddir. Eyni şəkildə uğursuz olan əvəzedici kart problemin heç vaxt kartda olmadığına dair bahalı sübutdur.