Η σύνδεση PIV αποτυγχάνει στα Windows με EAP-TLS; Ελέγξτε τη διαδρομή υπογραφής

Εμφανίστε το πιστοποιητικό μιας κάρτας PIV σε κάθε παράθυρο διαλόγου των Windows και η σύνδεση VPN μπορεί να αποτύχει ακόμη, επειδή η ορατότητα και η χρηστικότητα είναι διαφορετικές ιδιότητες. Το πιστοποιητικό είναι δημόσιο αντικείμενο· η σύνδεση χρειάζεται μια πράξη ιδιωτικού κλειδιού που εκτελεί η κάρτα σύμφωνα με τους δικούς της κανόνες πρόσβασης. Ανάμεσα σε αυτά τα δύο γεγονότα βρίσκονται τέσσερα στάδια που αποτυγχάνουν με τέσσερις διαφορετικούς τρόπους: επιλογή προφίλ, επιλογή πιστοποιητικού, τοπική υπογραφή και επικύρωση στην πλευρά του διακομιστή. Η διαδοχική διέλευση από αυτά μετατρέπει ένα γενικό σφάλμα χειραψίας σε συγκεκριμένη ερώτηση για όποιον κατέχει το επόμενο κομμάτι.

Ξεκινήστε από το προφίλ και τη μέθοδο EAP

Ανοίξτε τις ιδιότητες της σύνδεσης και διαβάστε ποια μέθοδο EAP χρησιμοποιεί στην πραγματικότητα το προφίλ, και μετά διαβάστε ποιο πιστοποιητικό έχει ρυθμιστεί να επιλέγει η μέθοδος. Πολλές εγκαταστάσεις έχουν και μια εξωτερική μέθοδο βασισμένη σε πιστοποιητικό και μια εσωτερική μέθοδο, και ένα πιστοποιητικό που έχει ρυθμιστεί στο επίπεδο της σύνδεσης δεν είναι αυτόματα εκείνο που παρουσιάζεται μέσα στο EAP-TLS. Αν το προφίλ επιλέγει πιστοποιητικό με βάση τον εκδότη ή με φίλτρο θέματος, το φίλτρο επιλέγει από ό,τι μπορεί να δει τα Windows στο σχετικό χώρο αποθήκευσης, όχι από ό,τι τυχαίνει να περιέχει η κάρτα. Ένα φίλτρο που δεν ταιριάζει με τίποτα καταλήγει σε ερώτημα ή σε σιωπηλή αποτυχία ανάλογα με τη ρύθμιση του προφίλ, γι' αυτό αξίζει να καταγράψετε το επιλεγμένο αποτύπωμα πριν από οποιαδήποτε αλλαγή.

Διαπιστώστε επίσης αν η σύνδεση εκτελείται ως συνδεδεμένος χρήστης ή ως μηχάνημα. Αυτό το μόνο γεγονός καθορίζει ποιοι χώροι πιστοποιητικών είναι στο πεδίο και ποιο πλαίσιο ασφαλείας εκτελεί την υπογραφή.

Επιβεβαιώστε ποιο πιστοποιητικό επιλέχθηκε

Συγκρίνετε το αποτύπωμα που επέλεξαν τα Windows με την απαίτηση: χρήση για έλεγχο ταυτότητας πελάτη, αλυσίδα που καταλήγει σε έμπιστη ρίζα, ταυτότητα που αντιστοιχίζει η πολιτική του διακομιστή ελέγχου ταυτότητας και περίοδος ισχύος που καλύπτει την πραγματική στιγμή της προσπάθειας. Αυτοί είναι ξεχωριστοί έλεγχοι και ο τελευταίος πιάνει περισσότερες εκπλήξεις απ' όσες περιμένουν οι άνθρωποι, ειδικά με πιστοποιητικά που εκδίδονται κυλιόμενα και προφίλ στην προσωρινή μνήμη που δείχνουν ακόμη στην επιλογή του χθες.

Το πλαίσιο χρήστη και μηχανήματος είναι το άλλο μισό του ελέγχου. Ένα πιστοποιητικό στον προσωπικό χώρο του χρήστη είναι αόρατο σε μια υπηρεσία που εκτελείται ως μηχάνημα, και ένα πιστοποιητικό μηχανήματος δεν παρουσιάζεται από ανταλλαγή EAP σε λειτουργία χρήστη εκτός αν το προφίλ το ορίζει. Η επανεισαγωγή πιστοποιητικού σε λάθος χώρο παράγει ορατό πιστοποιητικό και αόρατο διαπιστευτήριο σύνδεσης. Διαβάστε τη διαδρομή του χώρου στο προφίλ, όχι εκείνη στο παράθυρο που άνοιξε τυχαία.

Δοκιμάστε την πράξη κλειδιού χωρίς να μαντέψετε το PIN

Όταν η επιλογή έχει κριθεί, το ερώτημα είναι αν η κάρτα θα εκτελέσει την υπογραφή. Τα Windows χρειάζονται υποστηριζόμενο πάροχο κάρτας ή minidriver για να φτάσουν στο ιδιωτικό κλειδί, και η συσκευή εφαρμόζει τους δικούς της κανόνες PIN και παρουσίας στην πράξη. Μια κάρτα ρυθμισμένη να απαιτεί άγγιγμα για κάθε υπογραφή συμπεριφέρεται διαφορετικά από μια που αποθηκεύει προσωρινά μια επαλήθευση για μια συνεδρία, και οι δύο είναι νόμιμες ρυθμίσεις που αλλάζουν πότε εμφανίζεται ένα ερώτημα. Αυτή η διαφορά εξηγεί μια σύνδεση που πετυχαίνει σε νέα τοποθέτηση και αποτυγχάνει μετά από επανάληψη, χωρίς κανένα πιστοποιητικό να είναι λάθος.

certutil.exe -scinfo
certutil.exe -store -user My
Get-WinEvent -LogName Application -MaxEvents 40 | Where-Object ProviderName -like '*Ras*'

Η πρώτη εντολή καταγράφει την κάρτα και αναφέρει την κατάσταση του αναγνώστη και του παρόχου, κάτι που τεκμηριώνεται στην καθοδήγηση της Microsoft για την αποσφαλμάτωση έξυπνων καρτών. Η δεύτερη απαριθμεί τι μπορεί να δει πραγματικά το πλαίσιο χρήστη. Καμία δεν αποδεικνύει επιτυχή έλεγχο ταυτότητας· και οι δύο περιορίζουν πού σταμάτησε.

Μην μαντεύετε το PIN. Οι κάρτες επιβάλλουν όρια επαναλήψεων, και λίγες αισιόδοξες προσπάθειες μετατρέπουν ένα πρόβλημα δικαιωμάτων σε κλειδωμένο διαπιστευτήριο που χρειάζεται διαχειριστική ανάκτηση. Αν μια τοπική υπογραφή αποτύχει, καταγράψτε την κατάσταση του παρόχου και την κατάσταση της κάρτας αντί να δοκιμάζετε παραλλαγές. Επαναλάβετε την προσπάθεια μία φορά με το ίδιο προφίλ, το ίδιο πιστοποιητικό και μια γνωστή καλή διαδρομή αναγνώστη, και μετά συγκρίνετε τις δύο καταγραφές· η αλλαγή πολλών μεταβλητών ταυτόχρονα παράγει μια ιστορία και όχι ένα αποτέλεσμα.

Διαβάστε τις δύο πλευρές της χειραψίας

Μια ολοκληρωμένη υπογραφή δεν είναι ακόμη αποδοχή. Ο διακομιστής ελέγχου ταυτότητας πρέπει να δεχτεί την αλυσίδα, να ελέγξει την ανάκληση, να αντιστοιχίσει την ταυτότητα με τους τρέχοντες κανόνες του και να εγκρίνει το αίτημα· ο πελάτης με τη σειρά του πρέπει να επικυρώσει το πιστοποιητικό του διακομιστή όπως απαιτεί το προφίλ. Μια ειδοποίηση TLS που παράγεται από τον διακομιστή φαίνεται στο αρχείο του πελάτη ίδια με μια που παράγεται τοπικά, γι' αυτό η πλευρά που την εκπέμπει μετράει περισσότερο από το κείμενο της ειδοποίησης.

Συλλέξτε τα συμβάντα των Windows και τα συμβάντα στην πλευρά του διακομιστή με ευθυγραμμισμένες χρονικές σημάνσεις και μετά εντοπίστε ποια πλευρά παρήγαγε την πρώτη αποτυχία. Το RFC 5216 περιγράφει το βήμα απόδειξης κατοχής στο EAP-TLS, και μια γενική ειδοποίηση χειραψίας δεν ονομάζει από μόνη της τοπική αιτία κλειδιού. Η σύγκριση των χρονικών σημάνσεων είναι αυτό που μετατρέπει δύο αρχεία σε ακολουθία.

Κρατήστε τα όρια καθαρά στην αναφορά

Γράψτε την αναφορά ως τέσσερα στάδια με μία ετυμηγορία το καθένα: ποιο προφίλ και ποιο πλαίσιο εκτελέστηκαν, ποιο πιστοποιητικό επέλεξαν τα Windows, αν η κάρτα υπέγραψε και τι αποφάσισε ο διακομιστής. Αυτή η δομή κάνει το επόμενο βήμα προφανές και αποτρέπει τη συνηθισμένη επισκευή της απενεργοποίησης της επικύρωσης για να περάσει ένα στάδιο που κανείς δεν εντόπισε.

Ένα πιστοποιητικό λογισμικού ως προσωρινή σύγκριση είναι νόμιμη δοκιμή διαχειριστή, αλλά αλλάζει το μοντέλο διαπιστευτηρίων και διασφάλισης, οπότε ανήκει σε εγκεκριμένη αλλαγή και όχι σε μια σιωπηλή παράκαμψη στην παραγωγή. Η ίδια πειθαρχία ισχύει για τις προσπάθειες PIN και για την επανέκδοση διαπιστευτηρίων πριν γίνει γνωστό το στάδιο που αποτυγχάνει. Μια κάρτα αντικατάστασης που αποτυγχάνει πανομοιότυπα είναι ακριβή απόδειξη ότι το πρόβλημα δεν ήταν ποτέ στην κάρτα.