Las etiquetas de dispositivo no son credenciales VPN: tres afirmaciones que separar

Los nombres de host, los números de serie y los archivos marcadores ocultos ayudan a etiquetar un portátil, y ninguno de ellos demuestra que el portátil que presenta uno sea el dispositivo aprobado. La admisión se apoya en tres afirmaciones separadas: que el activo es el que la organización registró, que el cliente posee la credencial emitida para él y que esa credencial está protegida como exige la política. Fusionarlas en una sola comprobación es la forma en que se cuelan los archivos copiados y las claves clonadas.

Tres afirmaciones que se fusionan en una

El registro de inventario describe el activo y su propietario. El alta vincula una credencial adecuada a ese registro. En el momento de la conexión, la VPN verifica la prueba que exige su método configurado. Un número de serie escrito en un formulario de alta no debería recibir automáticamente la autorización de ese dispositivo, porque el formulario solo demuestra que alguien conoce el número de serie. Separe los tres pasos y cada uno puede probarse por su cuenta.

Un archivo marcador es peor que un número de serie en un aspecto: copiarlo es trivial, y cada copia parece igual de convincente.

Vea qué presenta realmente el dispositivo

Mire la credencial que el cliente almacena realmente antes de suponer que es específica del dispositivo.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

El listado muestra qué certificados de máquina existen y si hay una clave privada, que es la diferencia entre un archivo público y una credencial utilizable. El volcado del almacén añade el nombre del proveedor, y un proveedor de software frente a un proveedor criptográfico de plataforma es la primera pista sobre dónde vive la clave. Un certificado sin su clave privada no autentica nada, mientras que una clave privada exportada a otra máquina hace que la credencial sea portátil diga lo que diga su sujeto. Anote la huella y el proveedor en lugar del nombre visible.

La protección de hardware necesita pruebas

Un certificado es información pública, así que la pregunta significativa es dónde vive la clave privada y si esa protección se atestiguó. La atestación de claves TPM describe a un solicitante que demuestra a una autoridad de certificación que una clave está protegida por un TPM de confianza, lo que es más fuerte que nombrar un proveedor de hardware en una solicitud. También es una arquitectura con sus propias suposiciones de confianza, no algo que un cliente VPN habilite por defecto. Confirme qué acepta el emisor y qué impone la puerta de enlace sobre la credencial resultante, porque almacenamiento, atestación y política de admisión son tres componentes.

Una clave con respaldo de hardware sigue sin decir nada sobre el nivel de parches, la asignación actual o cómo se usa la sesión. Eso necesita sus propios controles.

Haga concretos el reemplazo y la retirada

Planifique qué ocurre cuando un dispositivo se pierde, se repara, se reasigna o se reemplaza. Un cambio de placa base o un almacén de claves borrado suele requerir un alta de nuevo soportada en lugar de copiar secretos antiguos para imitar la máquina original. Anote el activo, el identificador de credencial, el propietario, la decisión de alta y el rol de acceso juntos, para que el siguiente administrador vea qué pertenece a qué. Elimine la autorización que la puerta de enlace acepta realmente, porque cambiar un estado de inventario no demuestra nada sobre una credencial o una sesión existentes.

Luego pruebe el límite: un dispositivo aprobado se conecta, una etiqueta copiada por sí sola no, y una identidad retirada deja de funcionar. Un archivo llamado approved sigue siendo una etiqueta hasta que un proceso fiable le dé significado.