Les etiquetes de dispositiu no són credencials VPN: tres afirmacions per separar

Els noms d'amfitrió, els números de sèrie i els fitxers marcadors ocults ajuden a etiquetar un portàtil, i cap d'ells no demostra que el portàtil que en presenta un sigui el dispositiu aprovat. L'admissió es basa en tres afirmacions separades: que l'actiu és el que l'organització va registrar, que el client posseeix la credencial emesa per a ell i que aquesta credencial està protegida tal com exigeix la política. Fusionar-les en una sola comprovació és la manera com s'escolen els fitxers copiats i les claus clonades.

Tres afirmacions que es fusionen en una

El registre d'inventari descriu l'actiu i el seu propietari. L'alta vincula una credencial adequada a aquest registre. En el moment de la connexió, la VPN verifica la prova que exigeix el seu mètode configurat. Un número de sèrie escrit en un formulari d'alta no hauria de rebre automàticament l'autorització d'aquell dispositiu, perquè el formulari només demostra que algú coneix el número de sèrie. Separeu els tres passos i cadascun es pot provar pel seu compte.

Un fitxer marcador és pitjor que un número de sèrie en un aspecte: copiar-lo és trivial, i cada còpia sembla igual de convincent.

Mireu què presenta realment el dispositiu

Mireu la credencial que el client emmagatzema realment abans de suposar que és específica del dispositiu.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

El llistat mostra quins certificats de màquina existeixen i si hi ha una clau privada, que és la diferència entre un fitxer públic i una credencial utilitzable. L'abocament del magatzem afegeix el nom del proveïdor, i un proveïdor de programari enfront d'un proveïdor criptogràfic de plataforma és la primera pista sobre on viu la clau. Un certificat sense la seva clau privada no autentica res, mentre que una clau privada exportada a una altra màquina fa que la credencial sigui portàtil digui el que digui el seu subjecte. Anoteu l'empremta i el proveïdor en lloc del nom de visualització.

La protecció de maquinari necessita proves

Un certificat és informació pública, així que la pregunta significativa és on viu la clau privada i si aquesta protecció s'ha atestat. L'atestació de claus TPM descriu un sol·licitant que demostra a una autoritat de certificació que una clau està protegida per un TPM de confiança, cosa que és més forta que nomenar un proveïdor de maquinari en una sol·licitud. També és una arquitectura amb les seves pròpies suposicions de confiança, no una cosa que un client VPN habiliti per defecte. Confirmeu què accepta l'emissor i què imposa la passarel·la sobre la credencial resultant, perquè emmagatzematge, atestació i política d'admissió són tres components.

Una clau amb suport de maquinari encara no diu res sobre el nivell de pedaços, l'assignació actual o com s'utilitza la sessió. Aquests necessiten controls propis.

Feu concrets el reemplaçament i la retirada

Planifiqueu què passa quan un dispositiu es perd, es repara, es reassigna o es reemplaça. Un canvi de placa base o un magatzem de claus esborrat normalment requereix una alta de nou suportada en lloc de copiar secrets antics per imitar la màquina original. Anoteu l'actiu, l'identificador de credencial, el propietari, la decisió d'alta i el rol d'accés junts, perquè el següent administrador vegi què pertany a què. Elimineu l'autorització que la passarel·la accepta realment, perquè canviar un estat d'inventari no demostra res sobre una credencial o una sessió existents.

Després proveu el límit: un dispositiu aprovat es connecta, una etiqueta copiada sola no, i una identitat retirada deixa de funcionar. Un fitxer anomenat approved continua sent una etiqueta fins que un procés fiable li dona significat.