Λίστα επιτρεπόμενων IP ή εγκεκριμένος φορητός υπολογιστής: δύο διαφορετικοί έλεγχοι

Τα αιτήματα για κανόνα που επιτρέπει σύνδεση μόνο στον εγκεκριμένο φορητό υπολογιστή συχνά καταλήγουν ως καταχώριση τείχους προστασίας για τη δημόσια διεύθυνση του γραφείου. Ο κανόνας αυτός πλέον δέχεται κάθε συσκευή πίσω από τη διεύθυνση. Η απαίτηση και η υλοποίηση δεν είναι το ίδιο πράγμα. Διαχωρίστε τι θέλει η πολιτική από το τι μπορεί να αποδείξει η διεύθυνση.

Τρία ερωτήματα σε ένα αίτημα πολιτικής

Χωρίστε το αίτημα σε τρία μέρη: από πού έρχεται η σύνδεση, ποια υπηρεσία μπορεί να προσεγγίσει και ποιος υπολογιστής παρουσιάζει το διαπιστευτήριο. Ένας κανόνας διεύθυνσης προέλευσης απαντά στο πρώτο, και ένας κανόνας υπηρεσίας προορισμού στο δεύτερο. Κανένας από τους δύο δεν ταυτοποιεί το φυσικό μηχάνημα, γιατί και οι δύο λειτουργούν σε πεδία δικτύου που μοιράζονται πολλές συσκευές. Το τρίτο χρειάζεται διαπιστευτήριο που εκδόθηκε σε εκείνη τη συσκευή και δεν μπορεί να επαναχρησιμοποιηθεί σιωπηρά.

Γράψτε τις τρεις απαντήσεις χωριστά. Μία γραμμή τείχους προστασίας δεν μπορεί να ικανοποιήσει απαίτηση που ονομάζει τρία.

Τι μπορεί να σας πει η διεύθυνση προέλευσης

Η μετάφραση διευθύνσεων είναι ο συνήθης λόγος που ένας κανόνας προέλευσης δικτύου δέχεται υπερβολικά πολλά. Ό,τι βρίσκεται πίσω από μία έξοδο γραφείου εμφανίζεται ως η ίδια δημόσια διεύθυνση, οπότε ο κανόνας παραχωρεί πρόσβαση σε όλη την ομάδα. Μια σταθερή διεύθυνση μέσα στο VPN έχει την ίδια αδυναμία αλλού: είναι εκχώρηση συνδεδεμένη με συνεδρία, όχι ιδιότητα υλικού. Οποιαδήποτε συσκευή με αποδεκτό διαπιστευτήριο μπορεί να ανοίξει εκείνη τη συνεδρία. Αντιμετωπίστε τη διεύθυνση ως περιορισμό δικτύου και περιγράψτε την έτσι.

Αυτό παραμένει χρήσιμο για τον περιορισμό της έκθεσης και δεν είναι έλεγχος ταυτότητας συσκευής.

Δεσμεύστε την πρόσβαση σε εγγεγραμμένο διαπιστευτήριο

Αν η απαίτηση είναι περιορισμός συσκευής, χρησιμοποιήστε την υποστηριζόμενη από το VPN εγγραφή ανά συσκευή και δώστε σε κάθε υπολογιστή ξεχωριστή ταυτότητα.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Η λίστα του χώρου αποθήκευσης δείχνει το πιστοποιητικό και αν υπάρχει ιδιωτικό κλειδί, και η επαλήθευση δείχνει αν η αλυσίδα οδηγεί στην προβλεπόμενη άγκυρα. Ένα πιστοποιητικό αποδεικνύει κατοχή του αποδεκτού ιδιωτικού κλειδιού βάσει της διαμορφωμένης πολιτικής· δεν αποδεικνύει ποιο φυσικό μηχάνημα το είχε όταν το κλειδί μπορεί να εξαχθεί και να αντιγραφεί. Το να ονομάσετε το προφίλ με το όνομα του φορητού αφήνει το μυστικό εξίσου μεταφέρσιμο όπως πριν. Όπου η πλατφόρμα το υποστηρίζει, κλειδιά προστατευμένα από υλικό με πολιτική βεβαίωσης δίνουν ισχυρότερη δέσμευση, και η εγγραφή πρέπει ακόμη να αποφασίσει ποιος μπορεί να λάβει το διαπιστευτήριο.

Δοκιμάστε το όριο και μετά σχεδιάστε την αφαίρεση

Αξιολογήστε δύο περιπτώσεις: ο εγκεκριμένος φορητός και ο χρήστης πρέπει να συνδεθούν, και μια άλλη συσκευή που έχει μόνο τον λογαριασμό του χρήστη δεν πρέπει. Αν ο σχεδιασμός απαιτεί έλεγχο και χρήστη και συσκευής, επαληθεύστε ότι η επιλεγμένη μέθοδος επιβάλλει και τα δύο στην ίδια συνεδρία αντί να υποθέτει ότι δύο ανεξάρτητες ρυθμίσεις συνδυάζονται.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Η ανάκληση πρέπει να αφαιρεί την αποδεκτή ταυτότητα συσκευής, και ο χειρισμός ενεργών συνεδριών αξίζει δική του δοκιμή. Ένα TPM ή μια σημαία διαχειριζόμενης συσκευής δεν είναι πιστοποιητικό υγείας για κάθε διεργασία στο μηχάνημα.

Καταγράψτε τον περιορισμό δικτύου, το διαπιστευτήριο της συσκευής και την απόφαση εγγραφής ως τρεις ελέγχους με τρεις υπευθύνους. Αυτό κάνει το όριο ελέγξιμο, και αυτό είναι κάτι που μια διεύθυνση μόνη της δεν μπορεί ποτέ να προσφέρει.