Štítky zařízení nejsou přihlašovací údaje VPN: tři tvrzení, která je třeba oddělit

Názvy hostitelů, sériová čísla a skryté značkovací soubory pomáhají označit notebook a žádný z nich nedokazuje, že notebook, který některý z nich předkládá, je schválené zařízení. Přijetí stojí na třech oddělených tvrzeních: aktivum je to, které organizace zaznamenala, klient vlastní přihlašovací údaj pro něj vydaný a tento údaj je chráněn tak, jak politika vyžaduje. Sloučení do jedné kontroly je cesta, kterou procházejí zkopírované soubory a naklonované klíče.

Tři tvrzení, která se slučují v jedno

Inventární záznam popisuje aktivum a jeho vlastníka. Zápis spojuje vhodný přihlašovací údaj s tímto záznamem. Při připojení VPN ověřuje důkaz, který vyžaduje jeho nakonfigurovaná metoda. Sériové číslo zadané do registračního formuláře by nemělo automaticky získat oprávnění daného zařízení, protože formulář dokazuje jen to, že někdo sériové číslo zná. Oddělte tři kroky a každý lze testovat samostatně.

Značkovací soubor je v jednom ohledu horší než sériové číslo: zkopírovat ho je triviální a každá kopie vypadá stejně přesvědčivě.

Podívejte se, co zařízení skutečně předkládá

Podívejte se na údaj, který klient skutečně ukládá, než předpokládáte, že je specifický pro zařízení.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Výpis ukazuje, které certifikáty počítače existují a zda je přítomen soukromý klíč, což je rozdíl mezi veřejným souborem a použitelným údajem. Výpis úložiště přidává název poskytovatele a softwarový poskytovatel proti platformnímu kryptografickému poskytovateli je první stopa, kde klíč žije. Certifikát bez svého soukromého klíče nic neautentizuje, zatímco soukromý klíč exportovaný na jiný počítač činí údaj přenosným, ať už jeho subjekt říká cokoli. Zaznamenejte otisk a poskytovatele místo zobrazovaného názvu.

Hardwarová ochrana potřebuje důkazy

Certifikát je veřejná informace, takže smysluplná otázka zní, kde žije soukromý klíč a zda byla tato ochrana atestována. Atestace klíčů TPM popisuje žadatele, který certifikační autoritě dokazuje, že klíč je chráněn důvěryhodným TPM, což je silnější než uvést v žádosti hardwarového poskytovatele. Je to také architektura s vlastními předpoklady důvěry, nikoli něco, co klient VPN ve výchozím nastavení zapíná. Ověřte, co vydavatel přijímá a co brána vyžaduje ohledně výsledného údaje, protože úložiště, atestace a politika přijetí jsou tři součásti.

Klíč s hardwarovou podporou stále nic neříká o úrovni záplat, aktuálním přiřazení ani o tom, jak je relace používána. To vyžaduje vlastní kontroly.

Učiňte výměnu a odebrání konkrétními

Naplánujte, co se stane, když se zařízení ztratí, opraví, přeřadí nebo vymění. Výměna základní desky nebo vymazané úložiště klíčů obvykle vyžaduje podporovanou opětovnou registraci, nikoli kopírování starých tajemství, aby napodobilo původní počítač. Zaznamenejte aktivum, identifikátor údaje, vlastníka, rozhodnutí o registraci a přístupovou roli společně, aby další správce viděl, co k čemu patří. Odeberte oprávnění, které brána skutečně přijímá, protože změna inventárního stavu nic nedokazuje o existujícím údaji ani relaci.

Pak otestujte hranici: schválené zařízení se připojí, samotný zkopírovaný štítek ne a vyřazená identita přestane fungovat. Soubor s názvem approved zůstává štítkem, dokud mu důvěryhodný proces nedá význam.