Mewngofnodiad PIV yn methu ar Windows gyda EAP-TLS? Gwiriwch y llwybr llofnodi

Dangoswch dystysgrif cerdyn PIV ym mhob deialog Windows a gall mewngofnodiad VPN fethu o hyd, oherwydd mae gwelededd a defnyddiadwyedd yn briodweddau gwahanol. Mae’r dystysgrif yn wrthrych cyhoeddus; mae angen gweithrediad allwedd breifat ar y mewngofnodiad a gyflawnir gan y cerdyn o dan ei reolau mynediad ei hun. Rhwng y ddau ffaith hyn mae pedwar cam sy’n methu mewn pedair ffordd wahanol: dewis proffil, dewis tystysgrif, llofnodi lleol a dilysu ar ochr y gweinydd. Mae eu cerdded yn eu trefn yn troi gwall ysgwyd llaw cyffredinol yn gwestiwn penodol i bwy bynnag sy’n berchen ar y darn nesaf.

Dechreuwch gyda’r proffil a’r dull EAP

Agorwch briodweddau’r cysylltiad a darllenwch ba ddull EAP y mae’r proffil yn ei ddefnyddio mewn gwirionedd, yna darllenwch pa dystysgrif y mae’r dull wedi’i ffurfweddu i’w dewis. Mae gan lawer o ddefnyddiadau ddull allanol yn seiliedig ar dystysgrif a dull mewnol ill dau, ac nid yw tystysgrif a ffurfweddir ar lefel y cysylltiad yn awtomatig yr un a gyflwynir y tu mewn i EAP-TLS. Os yw’r proffil yn dewis tystysgrif yn ôl y dyroddwr neu yn ôl hidlydd pwnc, mae’r hidlydd hwnnw’n dewis o’r hyn y gall Windows ei weld yn y storfa berthnasol, nid o’r hyn y mae’r cerdyn yn digwydd ei chynnwys. Mae hidlydd nad yw’n cyfateb i ddim yn dychwelyd at anogwr neu at fethiant distaw yn dibynnu ar ffurfweddiad y proffil, a dyna pam mae’n werth cofnodi’r ôl-brint a ddewiswyd cyn unrhyw newid.

Sefydlwch hefyd a yw’r cysylltiad yn rhedeg fel y defnyddiwr sydd wedi mewngofnodi neu fel y peiriant. Mae’r un ffaith honno’n penderfynu pa fannau storio tystysgrifau sydd o fewn cwmpas a pha gyd-destun diogelwch sy’n cyflawni’r llofnod.

Cadarnhewch ba dystysgrif a ddewiswyd

Cymharwch yr ôl-brint a ddewisodd Windows â’r gofyniad: defnydd ar gyfer dilysu cleient, cadwyn sy’n gorffen mewn gwraidd ymddiried, hunaniaeth y mae polisi’r gweinydd dilysu yn ei mapio, a chyfnod dilysrwydd sy’n cwmpasu munud gwirioneddol yr ymgais. Mae’r rhain yn wiriadau ar wahân ac mae’r olaf yn dal mwy o syndod nag y mae pobl yn ei ddisgwyl, yn enwedig gyda thystysgrifau a ddyroddir yn rheolaidd a phroffiliau wedi’u cadw wrth gefn sy’n dal i bwyntio at ddewis ddoe.

Cyd-destun defnyddiwr a pheiriant yw hanner arall y gwiriad. Mae tystysgrif yn storfa bersonol y defnyddiwr yn anweledig i wasanaeth sy’n rhedeg fel y peiriant, ac ni chyflwynir tystysgrif peiriant gan gyfnewid EAP modd defnyddiwr oni bai bod y proffil yn dweud hynny. Mae ailbortio tystysgrif i’r storfa anghywir yn cynhyrchu tystysgrif weladwy a chredensial mewngofnodi anweledig. Darllenwch lwybr y storfa yn y proffil, nid yr un yn y deialog a ddigwyddodd agor.

Profwch y weithred allwedd heb ddyfalu’r PIN

Unwaith y bydd y dewis wedi’i setlo, y cwestiwn yw a fydd y cerdyn yn cyflawni’r llofnod. Mae angen darparwr cerdyn cefnogol neu yrwyr bach ar Windows i gyrraedd yr allwedd breifat, ac mae’r ddyfais yn cymhwyso ei rheolau PIN a phresenoldeb ei hun i’r weithred. Mae cerdyn a ffurfweddir i fynnu cyffyrddiad ar gyfer pob llofnod yn ymddwyn yn wahanol i un sy’n cadw dilysiad ar gyfer sesiwn, ac mae’r ddau yn ffurfweddiadau dilys sy’n newid pryd y bydd anogwr yn ymddangos. Mae’r gwahaniaeth hwnnw’n esbonio mewngofnodiad sy’n llwyddo ar fewnosodiad newydd ac yn methu ar ôl ailddechrau, heb i unrhyw dystysgrif fod yn anghywir.

certutil.exe -scinfo
certutil.exe -store -user My
Get-WinEvent -LogName Application -MaxEvents 40 | Where-Object ProviderName -like '*Ras*'

Mae’r gorchymyn cyntaf yn rhestru’r cerdyn ac yn adrodd cyflwr y darllenydd a’r darparwr, sydd wedi’i ddogfennu yn ganllaw Microsoft ar ddatrys problemau cardiau clyfar. Mae’r ail yn rhestru’r hyn y gall cyd-destun y defnyddiwr ei weld mewn gwirionedd. Nid yw’r naill na’r llall yn profi dilysiad llwyddiannus; mae’r ddau yn culhau lle y stopiodd.

Peidiwch â dyfalu’r PIN. Mae cardiau’n gorfodi terfynau ailgynnig, ac mae ychydig o ymdrechion optimistaidd yn troi problem caniatâd yn gredensial wedi’i chloi sy’n gofyn am adferiad gweinyddol. Os bydd llofnod lleol yn methu, cofnodwch gyflwr y darparwr a chyflwr y cerdyn yn lle rhoi cynnig ar amrywiadau. Ailadroddwch yr ymgais unwaith gyda’r un proffil, yr un dystysgrif a llwybr darllenydd hysbys dda, yna cymharwch y ddau gofnod; mae newid sawl newidyn ar unwaith yn cynhyrchu stori yn hytrach na chanlyniad.

Darllenwch ddwy ochr yr ysgwyd llaw

Nid yw llofnod wedi’i gwblhau yn dderbyniad o hyd. Rhaid i’r gweinydd dilysu dderbyn y gadwyn, gwirio dirymu, mapio’r hunaniaeth o dan ei reolau cyfredol ac awdurdodi’r cais; rhaid i’r cleient yn ei dro ddilysu tystysgrif y gweinydd fel y mae’r proffil yn ei ofyn. Mae rhybudd TLS a gynhyrchir gan y gweinydd yn edrych yr un fath yng nghofnod y cleient ag un a gynhyrchwyd yn lleol, a dyna pam mae’r ochr sy’n ei allyrru yn bwysicach na thestun y rhybudd.

Casglwch ddigwyddiadau Windows a digwyddiadau ochr y gweinydd â stampiau amser wedi’u halinio, yna nodwch pa ochr a gynhyrchodd y methiant cyntaf. Mae RFC 5216 yn disgrifio’r cam profi meddiant yn EAP-TLS, ac nid yw rhybudd ysgwyd llaw cyffredinol yn enwi achos allwedd lleol ar ei ben ei hun. Mae cymharu stampiau amser yn troi dau gofnod yn ddilyniant.

Cadwch y ffiniau’n glir yn yr adroddiad

Ysgrifennwch yr adroddiad fel pedwar cam ag un dyfarniad yr un: pa broffil a chyd-destun a redodd, pa dystysgrif a ddewisodd Windows, a lofnododd y cerdyn, a beth a benderfynodd y gweinydd. Mae’r strwythur hwnnw’n gwneud y cam nesaf yn amlwg ac yn atal y trwsio cyffredin o ddiffodd dilysu er mwyn mynd heibio cam na nododd neb.

Mae tystysgrif meddalwedd fel cymhariaeth dros dro yn brawf gweinyddol dilys, ond mae’n newid y model credensial a sicrwydd, felly mae’n perthyn i newid a gymeradwywyd yn hytrach nag i osgoi gwaith distaw mewn cynhyrchu. Mae’r un disgyblaeth yn berthnasol i ymdrechion PIN ac i ailddyroddi credensialau cyn bod y cam sy’n methu yn hysbys. Mae cerdyn newydd sy’n methu yn union yr un fath yn dystiolaeth gostus nad oedd y broblem ar y cerdyn erioed.