Enhedsmærker er ikke VPN-legitimationsoplysninger: tre påstande, der skal skilles

Værtsnavne, serienumre og skjulte markørfiler hjælper med at mærke en bærbar computer, og ingen af dem beviser, at den bærbare computer, der fremviser en af dem, er den godkendte enhed. Adgang hviler på tre separate påstande: at aktivet er det, organisationen registrerede, at klienten besidder den legitimation, der blev udstedt til det, og at den legitimation er beskyttet, som politikken kræver. At smelte dem sammen til ét tjek er den måde, kopierede filer og klonede nøgler slipper igennem på.

Tre påstande, der smeltes sammen til én

Inventarregistreringen beskriver aktivet og dets ejer. Tilmelding binder en passende legitimation til den registrering. Ved forbindelse verificerer VPN det bevis, som dens konfigurerede metode kræver. Et serienummer, der tastes ind i en tilmeldingsformular, bør ikke automatisk få den enheds autorisation, fordi formularen kun beviser, at nogen kender serienummeret. Skil de tre trin ad, og hvert af dem kan testes for sig.

En markørfil er værre end et serienummer på ét punkt: at kopiere den er trivielt, og hver kopi ser lige overbevisende ud.

Se, hvad enheden virkelig fremviser

Se på den legitimation, klienten faktisk gemmer, før du antager, at den er enhedsspecifik.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Oversigten viser, hvilke maskincertifikater der findes, og om der er en privat nøgle til stede, hvilket er forskellen mellem en offentlig fil og en brugbar legitimation. Lagerets dump tilføjer udbyderens navn, og en softwareudbyder kontra en platformskryptoudbyder er det første fingerpeg om, hvor nøglen bor. Et certifikat uden sin private nøgle autentificerer intet, mens en privat nøgle eksporteret til en anden maskine gør legitimationen flytbar uanset hvad dets subjekt siger. Notér fingeraftrykket og udbyderen i stedet for visningsnavnet.

Hardwarebeskyttelse kræver bevis

Et certifikat er offentlig information, så det meningsfulde spørgsmål er, hvor den private nøgle bor, og om denne beskyttelse blev attesteret. TPM-nøgleattestering beskriver en anmoder, der beviser over for en certifikatmyndighed, at en nøgle er beskyttet af en betroet TPM, hvilket er stærkere end at nævne en hardwareudbyder i en anmodning. Det er også en arkitektur med sine egne tillidsantagelser, ikke noget en VPN-klient aktiverer som standard. Bekræft, hvad udstederen accepterer, og hvad gatewayen håndhæver om den resulterende legitimation, fordi lagring, attestering og adgangspolitik er tre komponenter.

En hardwareunderstøttet nøgle siger stadig intet om patch-niveau, nuværende tildeling eller hvordan sessionen bruges. Det kræver sine egne kontroller.

Gør udskiftning og fjernelse konkrete

Planlæg, hvad der sker, når en enhed mistes, repareres, omfordeles eller udskiftes. En udskiftning af bundkortet eller et slettet nøglelager kræver normalt en understøttet gentilmelding i stedet for at kopiere gamle hemmeligheder for at efterligne den oprindelige maskine. Registrér aktivet, legitimations-id, ejer, tilmeldingsbeslutning og adgangsrolle sammen, så den næste administrator kan se, hvad der hører til hvad. Fjern den autorisation, gatewayen faktisk accepterer, fordi en ændring af inventarstatus ikke beviser noget om en eksisterende legitimation eller session.

Test derefter grænsen: en godkendt enhed opretter forbindelse, et kopieret etiket alene gør ikke, og en pensioneret identitet holder op med at virke. En fil med navnet approved forbliver et etiket, indtil en pålidelig proces giver den betydning.