Geräte-Tags sind keine VPN-Anmeldedaten: drei Aussagen, die zu trennen sind

Hostnamen, Seriennummern und versteckte Markierungsdateien helfen, einen Laptop zu kennzeichnen, und keine davon beweist, dass der Laptop, der eine vorzeigt, das freigegebene Gerät ist. Die Zulassung ruht auf drei getrennten Aussagen: Das Asset ist das von der Organisation erfasste, der Client besitzt die dafür ausgestellten Anmeldedaten, und diese Anmeldedaten sind geschützt, wie es die Richtlinie verlangt. Sie zu einer einzigen Prüfung zu verschmelzen, ist der Weg, auf dem kopierte Dateien und geklonte Schlüssel durchrutschen.

Drei Aussagen, die zu einer verschmolzen werden

Der Inventardatensatz beschreibt das Asset und seinen Eigentümer. Die Registrierung bindet passende Anmeldedaten an diesen Datensatz. Beim Verbindungsaufbau prüft das VPN den Nachweis, den seine konfigurierte Methode verlangt. Eine in ein Registrierungsformular eingetippte Seriennummer sollte nicht automatisch die Autorisierung dieses Geräts erhalten, denn das Formular beweist nur, dass jemand die Seriennummer kennt. Trennen Sie die drei Schritte, und jeder lässt sich für sich testen.

Eine Markierungsdatei ist in einer Hinsicht schlechter als eine Seriennummer: Sie zu kopieren ist trivial, und jede Kopie wirkt gleichermaßen überzeugend.

Sehen Sie, was das Gerät wirklich vorzeigt

Sehen Sie sich die Anmeldedaten an, die der Client tatsächlich speichert, bevor Sie annehmen, sie seien gerätespezifisch.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Die Auflistung zeigt, welche Maschinenzertifikate existieren und ob ein privater Schlüssel vorhanden ist, was den Unterschied zwischen einer öffentlichen Datei und brauchbaren Anmeldedaten ausmacht. Der Speicherauszug ergänzt den Anbieternamen, und ein Softwareanbieter gegenüber einem Plattform-Kryptoanbieter ist der erste Hinweis darauf, wo der Schlüssel liegt. Ein Zertifikat ohne seinen privaten Schlüssel authentifiziert nichts, während ein auf eine andere Maschine exportierter privater Schlüssel die Anmeldedaten übertragbar macht, egal was ihr Subjekt sagt. Notieren Sie den Fingerabdruck und den Anbieter statt des Anzeigenamens.

Hardwareschutz braucht Belege

Ein Zertifikat ist öffentliche Information, die sinnvolle Frage ist also, wo der private Schlüssel liegt und ob dieser Schutz attestiert wurde. TPM-Schlüsselattestierung beschreibt einen Antragsteller, der einer Zertifizierungsstelle beweist, dass ein Schlüssel durch ein vertrauenswürdiges TPM geschützt ist, was stärker ist, als in einem Antrag einen Hardwareanbieter zu nennen. Sie ist außerdem eine Architektur mit eigenen Vertrauensannahmen, nicht etwas, das ein VPN-Client standardmäßig aktiviert. Prüfen Sie, was der Aussteller akzeptiert und was das Gateway in Bezug auf die resultierenden Anmeldedaten durchsetzt, denn Speicherung, Attestierung und Zulassungsrichtlinie sind drei Komponenten.

Ein hardwaregestützter Schlüssel sagt weiterhin nichts über Patchstand, aktuelle Zuordnung oder die Nutzung der Sitzung. Dafür braucht es eigene Kontrollen.

Machen Sie Austausch und Entfernung konkret

Planen Sie, was passiert, wenn ein Gerät verloren geht, repariert, neu zugewiesen oder ersetzt wird. Ein Mainboard-Wechsel oder ein gelöschter Schlüsselspeicher erfordert in der Regel eine unterstützte Neuregistrierung statt des Kopierens alter Geheimnisse, um die ursprüngliche Maschine nachzuahmen. Erfassen Sie Asset, Anmeldedaten-Kennung, Eigentümer, Registrierungsentscheidung und Zugriffsrolle zusammen, damit der nächste Administrator sieht, was wozu gehört. Entfernen Sie die Autorisierung, die das Gateway tatsächlich akzeptiert, denn eine Änderung des Inventarstatus beweist nichts über vorhandene Anmeldedaten oder eine Sitzung.

Testen Sie dann die Grenze: Ein freigegebenes Gerät verbindet sich, ein kopiertes Etikett allein nicht, und eine ausgemusterte Identität funktioniert nicht mehr. Eine Datei namens approved bleibt ein Etikett, bis ein vertrauenswürdiger Prozess ihr Bedeutung gibt.