Nid yw tagiau dyfeisiau yn gymwysterau VPN: tri hawliad i'w gwahanu

Mae enwau gwesteiwyr, rhifau cyfresol a ffeiliau marcio cudd yn helpu labelu gliniadur, ac nid oes yr un ohonynt yn profi mai'r gliniadur sy'n cyflwyno un yw'r ddyfais a gymeradwywyd. Mae derbyniad yn dibynnu ar dri hawliad ar wahân: mai'r ased yw'r un a gofnodwyd gan y sefydliad, bod y cleient yn meddu ar y cymhwyster a gyhoeddwyd ar ei gyfer, a bod y cymhwyster hwnnw wedi'i amddiffyn fel y mae polisi'n ei fynnu. Mae eu huno mewn un archwiliad yn golygu bod ffeiliau copïo ac allweddi clonio yn llithro drwodd.

Tri hawliad a gaiff eu huno'n un

Mae'r cofnod rhestr eiddo yn disgrifio'r ased a'i berchennog. Mae cofrestriad yn clymu cymhwyster priodol i'r cofnod hwnnw. Ar adeg cysylltu, mae'r VPN yn gwirio'r prawf y mae ei ddull cyfluniedig yn ei fynnu. Ni ddylai rhif cyfresol a deipir mewn ffurflen gofrestru dderbyn awdurdod y ddyfais honno yn awtomatig, oherwydd dim ond bod rhywun yn gwybod y rhif cyfresol y mae'r ffurflen yn ei brofi. Gwahanwch y tri cham ac mae modd profi pob un ar ei ben ei hun.

Mae ffeil marcio yn waeth na rhif cyfresol mewn un ystyr: mae ei chopïo yn ddibwys, ac mae pob copi yn edrych yr un mor argyhoeddiadol.

Edrychwch beth mae'r ddyfais yn ei gyflwyno mewn gwirionedd

Edrychwch ar y cymhwyster y mae'r cleient yn ei storio mewn gwirionedd cyn tybio ei fod yn benodol i'r ddyfais.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Mae'r rhestr yn dangos pa dystysgrifau peiriant sy'n bodoli ac a oes allwedd breifat yn bresennol, sef y gwahaniaeth rhwng ffeil gyhoeddus a chymhwyster defnyddiadwy. Mae dymp y storfa yn ychwanegu enw'r darparwr, ac mae darparwr meddalwedd yn erbyn darparwr crypto platfform yn awgrym cyntaf ynglŷn â lle mae'r allwedd yn byw. Nid yw tystysgrif heb ei hallwedd breifat yn dilysu unrhyw beth, tra bod allwedd breifat a allforiwyd i beiriant arall yn gwneud y cymhwyster yn gludadwy beth bynnag yw ei destun yn ei ddweud. Cofnodwch yr ôl-brint a'r darparwr yn hytrach na'r enw arddangos.

Mae amddiffyniad caledwedd angen tystiolaeth

Mae tystysgrif yn wybodaeth gyhoeddus, felly'r cwestiwn ystyrlon yw lle mae'r allwedd breifat yn byw ac a ardystiwyd yr amddiffyniad hwnnw. Mae ardystiad allwedd TPM yn disgrifio gofynnwr yn profi i awdurdod tystysgrifau bod allwedd wedi'i hamddiffyn gan TPM ymddiriedol, sy'n gryfach na enwi darparwr caledwedd mewn cais. Mae hefyd yn bensaernïaeth â'i thybiaethau ymddiriedaeth ei hun, nid rhywbeth y mae cleient VPN yn ei alluogi yn ddiofyn. Cadarnhewch beth mae'r cyhoeddwr yn ei dderbyn a beth mae'r porth yn ei orfodi ynghylch y cymhwyster sy'n deillio, oherwydd mae storio, ardystiad a pholisi derbyn yn dri chydran.

Nid yw allwedd â chefnogaeth caledwedd yn dweud dim am lefel y clytiau, y neilltuad presennol na sut mae'r sesiwn yn cael ei defnyddio. Mae angen eu rheolyddion eu hunain arnynt.

Gwnewch amnewid a thynnu yn bendant

Cynlluniwch beth sy'n digwydd pan gollir dyfais, ei thrwsio, ei hailbennu neu ei hamnewid. Mae newid bwrdd mam neu storfa allweddi wedi'i sychu fel arfer angen ailgofrestriad â chymorth yn hytrach na chopïo hen gyfrinachau i efelychu'r peiriant gwreiddiol. Cofnodwch yr ased, dynodwr y cymhwyster, y perchennog, y penderfyniad cofrestru a'r rôl mynediad gyda'i gilydd, fel y gall yr weinyddwr nesaf weld beth sy'n perthyn i beth. Tynnwch yr awdurdodiad y mae'r porth yn ei dderbyn mewn gwirionedd, oherwydd nid yw newid statws rhestr eiddo yn profi dim am gymhwyster neu sesiwn sy'n bodoli.

Yna profwch y ffin: mae dyfais gymeradwy yn cysylltu, nid yw label copïo ar ei phen ei hun, ac mae hunaniaeth a ymddeolwyd yn rhoi'r gorau i weithio. Mae ffeil o'r enw approved yn parhau i fod yn label nes bod proses ddibynadwy yn rhoi ystyr iddi.