Етикетите на устройствата не са VPN идентификационни данни: три твърдения за разделяне

Имена на хостове, серийни номера и скрити маркерни файлове помагат да се обозначи лаптоп и нито едно от тях не доказва, че лаптопът, който показва такова, е одобреното устройство. Допускането почива на три отделни твърдения: активът е този, който организацията е записала, клиентът притежава издадените за него идентификационни данни и тези данни са защитени според изискванията на политиката. Сливането им в една проверка е начинът, по който копирани файлове и клонирани ключове преминават.

Три твърдения, които се сливат в едно

Инвентарният запис описва актива и неговия собственик. Регистрацията свързва подходящи идентификационни данни с този запис. При свързване VPN проверява доказателството, което изисква конфигурираният му метод. Сериен номер, въведен във формуляр за регистрация, не трябва автоматично да получава оторизацията на това устройство, защото формулярът доказва само, че някой знае серийния номер. Разделете трите стъпки и всяка може да се тества самостоятелно.

Маркерният файл е по-лош от серийния номер в едно отношение: копирането му е тривиално и всяко копие изглежда еднакво убедително.

Вижте какво наистина представя устройството

Погледнете идентификационните данни, които клиентът действително съхранява, преди да приемете, че са специфични за устройството.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Списъкът показва кои сертификати на машината съществуват и дали има частен ключ, а това е разликата между публичен файл и използваеми идентификационни данни. Изхвърлянето на хранилището добавя името на доставчика, а софтуерен доставчик срещу платформен криптодоставчик е първата подсказка къде живее ключът. Сертификат без своя частен ключ не удостоверява нищо, докато експортиран частен ключ на друга машина прави данните преносими, каквото и да казва неговият субект. Записвайте отпечатъка и доставчика, а не показваното име.

Хардуерната защита се нуждае от доказателства

Сертификатът е публична информация, така че смисленият въпрос е къде живее частният ключ и дали тази защита е била атестирана. Атестацията на ключове в TPM описва заявител, който доказва пред сертификатен орган, че ключ е защитен от доверен TPM, което е по-силно от посочването на хардуерен доставчик в заявка. Това е и архитектура със свои допускания за доверие, а не нещо, което VPN клиент включва по подразбиране. Потвърдете какво приема издателят и какво налага шлюзът по отношение на получения сертификат, защото съхранение, атестация и политика за допускане са три компонента.

Ключ с хардуерна поддръжка все още не казва нищо за нивото на кръпките, текущото назначение или как се използва сесията. Те се нуждаят от собствени контроли.

Направете подмяната и премахването конкретни

Планирайте какво се случва, когато устройство се загуби, ремонтира, преразпредели или подмени. Смяна на дънната платка или изтрито хранилище на ключове обикновено изисква поддържана повторна регистрация, а не копиране на стари тайни, за да се имитира оригиналната машина. Записвайте актива, идентификатора на данните, собственика, решението за регистрация и ролята за достъп заедно, за да види следващият администратор какво на какво принадлежи. Премахнете оторизацията, която шлюзът действително приема, защото промяната на инвентарен статус не доказва нищо за съществуващи данни или сесия.

След това тествайте границата: одобрено устройство се свързва, копиран етикет сам по себе си — не, и оттеглена самоличност спира да работи. Файл с име approved остава етикет, докато надежден процес не му даде значение.