Меткі прылад — не ўліковыя даныя VPN: тры сцвярджэнні, якія трэба раздзяліць

Імёны хастоў, серыйныя нумары і схаваныя файлы-маркеры дапамагаюць пазначыць ноўтбук, і ні адзін з іх не даказвае, што ноўтбук, які паказвае такую прыкмету, з'яўляецца зацверджанай прыладай. Допуск абапіраецца на тры асобныя сцвярджэнні: актыў — той, які запісала арганізацыя, кліент валодае ўліковымі данымі, выдадзенымі для яго, і гэтыя даныя ахоўваюцца так, як патрабуе палітыка. Зліццё іх у адну праверку — гэта шлях, якім праходзяць скапіяваныя файлы і скапіяваныя ключы.

Тры сцвярджэнні, якія зліваюць у адно

Запіс інвентара апісвае актыў і яго ўладальніка. Рэгістрацыя прывязвае адпаведныя ўліковыя даныя да гэтага запісу. Падчас злучэння VPN правярае доказ, які патрабуе яго наладжаны метад. Серыйны нумар, уведзены ў форму рэгістрацыі, не павінен аўтаматычна атрымліваць дазвол гэтай прылады, бо форма даказвае толькі тое, што нехта ведае серыйны нумар. Раздзяліце тры крокі, і кожны з іх можна праверыць асобна.

Файл-маркер горш за серыйны нумар у адной адносіне: скапіяваць яго элементарна, і кожная копія выглядае аднолькава пераканаўча.

Паглядзіце, што прылада сапраўды паказвае

Паглядзіце на ўліковыя даныя, якія кліент фактычна захоўвае, перш чым меркаваць, што яны спецыфічныя для прылады.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Спіс паказвае, якія сертыфікаты машыны існуюць і ці прысутнічае прыватны ключ, а гэта розніца паміж публічным файлам і прыдатнымі ўліковымі данымі. Выгрузка сховішча дадае імя пастаўшчыка, і праграмны пастаўшчык супраць платформавага крыптапастаўшчыка — першая падказка пра тое, дзе жыве ключ. Сертыфікат без свайго прыватнага ключа нічога не аўтэнтыфікуе, тады як экспарт прыватнага ключа на іншую машыну робіць уліковыя даныя пераноснымі, што б ні казаў яго суб'ект. Запісвайце адбітак і пастаўшчыка, а не адлюстраванае імя.

Апаратная ахова патрабуе доказаў

Сертыфікат — публічная інфармацыя, таму значнае пытанне ў тым, дзе жыве прыватны ключ і ці была засведчана гэтая ахова. Атэстацыя ключоў TPM апісвае запытчыка, які даказвае цэнтру сертыфікацыі, што ключ ахоўваецца давераным TPM, і гэта мацней, чым назваць апаратнага пастаўшчыка ў запыце. Гэта таксама архітэктура з уласнымі дапушчэннямі даверу, а не тое, што кліент VPN уключае па змаўчанні. Пацвердзіце, што прымае выдавец і што шлюз патрабуе ў дачыненні да атрыманых уліковых даных, бо захоўванне, атэстацыя і палітыка допуску — тры кампаненты.

Ключ з апаратнай падтрымкай усё яшчэ нічога не кажа пра ўзровень абнаўленняў, бягучае прызначэнне або тое, як выкарыстоўваецца сеанс. Для гэтага патрэбныя ўласныя сродкі кантролю.

Зрабіце замену і выдаленне канкрэтнымі

Сплануйце, што адбываецца, калі прылада губляецца, рамантуецца, перапрызначаецца або замяняецца. Замена матчынай платы або ачышчанае сховішча ключоў звычайна патрабуе падтрыманай перарэгістрацыі, а не капіравання старых сакрэтаў, каб імітаваць зыходную машыну. Запісвайце актыў, ідэнтыфікатар уліковых даных, уладальніка, рашэнне аб рэгістрацыі і роль доступу разам, каб наступны адміністратар бачыў, што чаму належыць. Выдаліце дазвол, які шлюз фактычна прымае, бо змена статусу інвентара нічога не даказвае пра існуючыя ўліковыя даныя або сеанс.

Затым праверце мяжу: зацверджаная прылада падключаецца, адна скапіяваная этыкетка — не, і знятая ідэнтычнасць перастае працаваць. Файл з назвай approved застаецца этыкеткай, пакуль надзейны працэс не надасць яму сэнс.