Οι ετικέτες συσκευών δεν είναι διαπιστευτήρια VPN: τρεις ισχυρισμοί προς διαχωρισμό

Τα ονόματα κεντρικών υπολογιστών, οι σειριακοί αριθμοί και τα κρυφά αρχεία δεικτών βοηθούν στην επισήμανση ενός φορητού υπολογιστή, και κανένα από αυτά δεν αποδεικνύει ότι ο φορητός που παρουσιάζει κάποιο είναι η εγκεκριμένη συσκευή. Η αποδοχή στηρίζεται σε τρεις χωριστούς ισχυρισμούς: ότι το περιουσιακό στοιχείο είναι αυτό που κατέγραψε ο οργανισμός, ότι ο πελάτης κατέχει το διαπιστευτήριο που εκδόθηκε γι' αυτό και ότι το διαπιστευτήριο προστατεύεται όπως απαιτεί η πολιτική. Η συγχώνευσή τους σε έναν έλεγχο είναι ο τρόπος με τον οποίο αντιγραμμένα αρχεία και κλωνοποιημένα κλειδιά περνούν.

Τρεις ισχυρισμοί που συγχωνεύονται σε έναν

Το αρχείο απογραφής περιγράφει το περιουσιακό στοιχείο και τον ιδιοκτήτη του. Η εγγραφή συνδέει ένα κατάλληλο διαπιστευτήριο με αυτό το αρχείο. Κατά τη σύνδεση, το VPN επαληθεύει την απόδειξη που απαιτεί η ρυθμισμένη μέθοδός του. Ένας σειριακός αριθμός που πληκτρολογείται σε φόρμα εγγραφής δεν θα πρέπει να λαμβάνει αυτόματα την εξουσιοδότηση εκείνης της συσκευής, γιατί η φόρμα αποδεικνύει μόνο ότι κάποιος γνωρίζει τον σειριακό αριθμό. Διαχωρίστε τα τρία βήματα και καθένα μπορεί να δοκιμαστεί μόνο του.

Ένα αρχείο δείκτη είναι χειρότερο από έναν σειριακό αριθμό από μία άποψη: η αντιγραφή του είναι ασήμαντη, και κάθε αντίγραφο φαίνεται εξίσου πειστικό.

Δείτε τι παρουσιάζει πραγματικά η συσκευή

Κοιτάξτε το διαπιστευτήριο που αποθηκεύει πραγματικά ο πελάτης πριν υποθέσετε ότι είναι ειδικό για τη συσκευή.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Η λίστα δείχνει ποια πιστοποιητικά μηχανής υπάρχουν και αν υπάρχει ιδιωτικό κλειδί, που είναι η διαφορά ανάμεσα σε ένα δημόσιο αρχείο και ένα χρησιμοποιήσιμο διαπιστευτήριο. Η εκτύπωση του χώρου αποθήκευσης προσθέτει το όνομα του παρόχου, και ένας πάροχος λογισμικού έναντι ενός παρόχου κρυπτογραφίας πλατφόρμας είναι η πρώτη ένδειξη για το πού ζει το κλειδί. Ένα πιστοποιητικό χωρίς το ιδιωτικό του κλειδί δεν πιστοποιεί τίποτα, ενώ ένα ιδιωτικό κλειδί που εξάγεται σε άλλη μηχανή κάνει το διαπιστευτήριο φορητό ό,τι κι αν λέει το υποκείμενό του. Καταγράψτε το αποτύπωμα και τον πάροχο αντί για το εμφανιζόμενο όνομα.

Η προστασία υλικού χρειάζεται αποδείξεις

Ένα πιστοποιητικό είναι δημόσια πληροφορία, άρα το ουσιαστικό ερώτημα είναι πού ζει το ιδιωτικό κλειδί και αν αυτή η προστασία πιστοποιήθηκε. Η βεβαίωση κλειδιού TPM περιγράφει έναν αιτούντα που αποδεικνύει σε αρχή πιστοποίησης ότι ένα κλειδί προστατεύεται από έμπιστο TPM, κάτι ισχυρότερο από το να ονομάσει πάροχο υλικού σε ένα αίτημα. Είναι επίσης μια αρχιτεκτονική με τις δικές της παραδοχές εμπιστοσύνης, όχι κάτι που ένας πελάτης VPN ενεργοποιεί εξ ορισμού. Επιβεβαιώστε τι δέχεται ο εκδότης και τι επιβάλλει η πύλη σχετικά με το διαπιστευτήριο που προκύπτει, γιατί αποθήκευση, βεβαίωση και πολιτική αποδοχής είναι τρία συστατικά.

Ένα κλειδί με υποστήριξη υλικού δεν λέει ακόμη τίποτα για το επίπεδο ενημερώσεων, την τρέχουσα ανάθεση ή το πώς χρησιμοποιείται η συνεδρία. Αυτά χρειάζονται δικούς τους ελέγχους.

Κάντε την αντικατάσταση και την αφαίρεση συγκεκριμένες

Σχεδιάστε τι συμβαίνει όταν μια συσκευή χαθεί, επισκευαστεί, ανατεθεί εκ νέου ή αντικατασταθεί. Μια αλλαγή μητρικής πλακέτας ή ένα σβησμένο χώρο κλειδιών απαιτεί συνήθως υποστηριζόμενη επανεγγραφή αντί για αντιγραφή παλιών μυστικών για να μιμηθεί την αρχική μηχανή. Καταγράψτε το περιουσιακό στοιχείο, το αναγνωριστικό διαπιστευτηρίου, τον ιδιοκτήτη, την απόφαση εγγραφής και τον ρόλο πρόσβασης μαζί, ώστε ο επόμενος διαχειριστής να βλέπει τι ανήκει σε τι. Αφαιρέστε την εξουσιοδότηση που δέχεται πραγματικά η πύλη, γιατί η αλλαγή κατάστασης απογραφής δεν αποδεικνύει τίποτα για υπάρχον διαπιστευτήριο ή συνεδρία.

Στη συνέχεια δοκιμάστε το όριο: μια εγκεκριμένη συσκευή συνδέεται, μια αντιγραμμένη ετικέτα μόνη της όχι, και μια συνταξιοδοτημένη ταυτότητα σταματά να λειτουργεί. Ένα αρχείο με όνομα approved παραμένει ετικέτα μέχρι μια αξιόπιστη διαδικασία να του δώσει νόημα.