Oznake uređaja nisu VPN akreditivi: tri tvrdnje koje treba razdvojiti

Nazivi hostova, serijski brojevi i skrivene marker datoteke pomažu označiti prijenosno računalo, a nijedan od njih ne dokazuje da je prijenosno računalo koje ih predočuje odobreni uređaj. Prijem se oslanja na tri odvojene tvrdnje: da je imovina ona koju je organizacija zabilježila, da klijent posjeduje akreditiv izdan za nju i da je taj akreditiv zaštićen kako politika zahtijeva. Njihovo spajanje u jednu provjeru put je kojim kopirane datoteke i klonirani ključevi prolaze.

Tri tvrdnje koje se spajaju u jednu

Inventarni zapis opisuje imovinu i njezina vlasnika. Upis povezuje odgovarajući akreditiv s tim zapisom. U vrijeme povezivanja VPN provjerava dokaz koji zahtijeva njegova konfigurirana metoda. Serijski broj upisan u obrazac za upis ne bi smio automatski dobiti ovlaštenje tog uređaja, jer obrazac dokazuje samo da netko zna serijski broj. Razdvojite tri koraka i svaki se može testirati zasebno.

Marker datoteka je u jednom pogledu gora od serijskog broja: kopirati je trivijalno, a svaka kopija izgleda jednako uvjerljivo.

Pogledajte što uređaj doista predočuje

Pogledajte akreditiv koji klijent stvarno pohranjuje prije nego pretpostavite da je specifičan za uređaj.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Popis pokazuje koji certifikati računala postoje i je li prisutan privatni ključ, a to je razlika između javne datoteke i upotrebljivog akreditiva. Ispis spremišta dodaje naziv davatelja, a softverski davatelj nasuprot platformskom kriptodavatelju prva je naznaka gdje ključ živi. Certifikat bez svog privatnog ključa ništa ne autentificira, dok privatni ključ izvezen na drugo računalo čini akreditiv prenosivim bez obzira na to što njegov subjekt kaže. Zabilježite otisak i davatelja umjesto prikazanog naziva.

Hardverska zaštita treba dokaze

Certifikat je javna informacija, pa je smisleno pitanje gdje živi privatni ključ i je li ta zaštita potvrđena. TPM potvrda ključa opisuje podnositelja zahtjeva koji certifikacijskom tijelu dokazuje da je ključ zaštićen pouzdanim TPM-om, što je jače od navođenja hardverskog davatelja u zahtjevu. To je i arhitektura s vlastitim pretpostavkama povjerenja, a ne nešto što VPN klijent omogućuje prema zadanim postavkama. Provjerite što izdavatelj prihvaća i što pristupnik nameće u vezi s dobivenim akreditivom, jer su pohrana, potvrda i politika prijema tri komponente.

Ključ s hardverskom podrškom i dalje ne govori ništa o razini zakrpa, trenutačnoj dodjeli ili načinu korištenja sesije. Za to su potrebne vlastite kontrole.

Učinite zamjenu i uklanjanje konkretnima

Isplanirajte što se događa kada se uređaj izgubi, popravi, preraspodijeli ili zamijeni. Promjena matične ploče ili izbrisano spremište ključeva obično zahtijeva podržan ponovni upis, a ne kopiranje starih tajni kako bi se oponašalo izvorno računalo. Zabilježite imovinu, identifikator akreditiva, vlasnika, odluku o upisu i ulogu pristupa zajedno, kako bi sljedeći administrator vidio što čemu pripada. Uklonite ovlaštenje koje pristupnik stvarno prihvaća, jer promjena inventarnog statusa ne dokazuje ništa o postojećem akreditivu ili sesiji.

Zatim testirajte granicu: odobreni uređaj se povezuje, sama kopirana oznaka ne, a umirovljeni identitet prestaje raditi. Datoteka nazvana approved ostaje oznaka dok joj pouzdan proces ne da značenje.