Aparataj etikedoj ne estas VPN-akreditaĵoj: tri asertoj apartigendaj

Gastigantaj nomoj, seriaj numeroj kaj kaŝitaj markilaj dosieroj helpas etikedi tekkomputilon, kaj neniu el ili pruvas, ke la tekkomputilo prezentanta unu el ili estas la aprobita aparato. Akcepto baziĝas sur tri apartaj asertoj: ke la aktivaĵo estas tiu, kiun la organizo registris, ke la kliento posedas la akreditaĵon eldonitan por ĝi, kaj ke tiu akreditaĵo estas protektata tiel, kiel postulas la politiko. Kunfandi ilin en unu kontrolon estas la maniero, per kiu kopiitaj dosieroj kaj klonitaj ŝlosiloj glitas tra.

Tri asertoj, kiuj kunfandiĝas en unu

La inventara rikordo priskribas la aktivaĵon kaj ĝian posedanton. Aliĝo ligas taŭgan akreditaĵon al tiu rikordo. Ĉe konekta tempo, la VPN kontrolas la pruvon, kiun postulas ĝia agordita metodo. Seria numero tajpita en aliĝilo ne devus aŭtomate ricevi la rajtigon de tiu aparato, ĉar la formularo nur pruvas, ke iu konas la serian numeron. Apartigu la tri paŝojn kaj ĉiu povas esti testata memstare.

Markila dosiero estas pli malbona ol seria numero en unu rilato: kopii ĝin estas bagatela, kaj ĉiu kopio aspektas same konvinka.

Rigardu, kion la aparato vere prezentas

Rigardu la akreditaĵon, kiun la kliento efektive konservas, antaŭ ol supozi, ke ĝi estas aparatspecifa.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

La listo montras, kiuj maŝinaj atestiloj ekzistas kaj ĉu privata ŝlosilo ĉeestas, kio estas la diferenco inter publika dosiero kaj uzebla akreditaĵo. La eligo de la konservejo aldonas la provizantan nomon, kaj programara provizanto kontraŭ platforma kripta provizanto estas la unua indiko pri tio, kie loĝas la ŝlosilo. Atestilo sen sia privata ŝlosilo atestas nenion, dum privata ŝlosilo eksportita al alia maŝino faras la akreditaĵon portebla kion ajn diras ĝia subjekto. Notu la fingrospuron kaj la provizanton anstataŭ la vidigitan nomon.

Aparata protekto bezonas pruvojn

Atestilo estas publika informo, do la senchava demando estas, kie loĝas la privata ŝlosilo kaj ĉu tiu protekto estis atestita. TPM-ŝlosila atestado priskribas petanton, kiu pruvas al atestila aŭtoritato, ke ŝlosilo estas protektata de fidinda TPM, kio estas pli forta ol nomi aparatan provizanton en peto. Ĝi ankaŭ estas arkitekturo kun propraj fido-supozoj, ne io, kion VPN-kliento ebligas defaŭlte. Konfirmu, kion la eldonanto akceptas kaj kion la enirejo devigas pri la rezulta akreditaĵo, ĉar konservado, atestado kaj akcepta politiko estas tri komponantoj.

Aparate subtenata ŝlosilo ankoraŭ diras nenion pri fliknivelo, nuna atribuo aŭ kiel la sesio estas uzata. Tiuj bezonas proprajn kontrolojn.

Faru anstataŭigon kaj forigon konkretaj

Planu, kio okazas, kiam aparato perdiĝas, estas riparita, reatribuita aŭ anstataŭigita. Ŝanĝo de ĉefkarto aŭ viŝita ŝlosilkonservejo kutime postulas subtenatan realiĝon anstataŭ kopii malnovajn sekretojn por imiti la originan maŝinon. Registru la aktivaĵon, la akreditaĵan identigilon, la posedanton, la aliĝan decidon kaj la alirrolon kune, por ke la sekva administranto vidu, kio apartenas al kio. Forigu la rajtigon, kiun la enirejo efektive akceptas, ĉar ŝanĝi inventaran staton pruvas nenion pri ekzistanta akreditaĵo aŭ sesio.

Poste testu la limon: aprobita aparato konektiĝas, sola kopiita etikedo ne, kaj emerita identeco ĉesas funkcii. Dosiero nomata approved restas etikedo ĝis fidinda procezo donas al ĝi signifon.