Seadme sildid ei ole VPN-i volitused: kolm väidet, mis tuleb eraldada

Hostinimed, seerianumbrid ja peidetud markerfailid aitavad sülearvutit märgistada ja ükski neist ei tõesta, et üht neist esitav sülearvuti on kinnitatud seade. Lubamine toetub kolmele eraldi väitele: vara on see, mille organisatsioon registreeris, klient omab selle jaoks väljastatud volitusi ja need volitused on kaitstud nii, nagu poliitika nõuab. Nende ühte kontrolli ühendamine on tee, mille kaudu kopeeritud failid ja kloonitud võtmed läbi libisevad.

Kolm väidet, mis üheks sulandatakse

Inventarikirje kirjeldab vara ja selle omanikku. Registreerimine seob sobivad volitused selle kirjega. Ühenduse ajal kontrollib VPN tõestust, mida nõuab selle seadistatud meetod. Registreerimisvormi sisestatud seerianumber ei peaks automaatselt saama selle seadme volitust, sest vorm tõestab ainult seda, et keegi teab seerianumbrit. Eraldage kolm sammu ja igaüht saab eraldi testida.

Markerfail on ühes mõttes seerianumbrist halvem: selle kopeerimine on triviaalne ja iga koopia mõjub võrdselt veenvalt.

Vaadake, mida seade tegelikult esitab

Vaadake volitusi, mida klient tegelikult salvestab, enne kui eeldate, et need on seadmespetsiifilised.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Loend näitab, millised masinasertifikaadid on olemas ja kas privaatvõti on olemas, mis on erinevus avaliku faili ja kasutatavate volituste vahel. Hoidla väljavõte lisab teenusepakkuja nime ning tarkvara-pakkuja versus platvormi krüptopakkuja on esimene vihje selle kohta, kus võti asub. Sertifikaat ilma oma privaatvõtmeta ei autendi midagi, samas kui teisele masinale eksporditud privaatvõti muudab volitused kaasaskantavaks, ükskõik mida selle subjekt ütleb. Märkige üles sõrmejälg ja pakkuja, mitte kuvatav nimi.

Riistvaraline kaitse vajab tõendeid

Sertifikaat on avalik teave, seega mõttekas küsimus on, kus privaatvõti asub ja kas see kaitse on atesteeritud. TPM-võtme atesteerimine kirjeldab taotlejat, kes tõestab sertifitseerimisasutusele, et võti on kaitstud usaldusväärse TPM-iga, mis on tugevam kui riistvarapakkuja nimetamine taotluses. See on ka arhitektuur, millel on oma usalduseeldused, mitte miski, mille VPN-klient vaikimisi lubab. Kinnitage, mida väljaandja aktsepteerib ja mida lüüs tulemuste volituste osas nõuab, sest salvestamine, atesteerimine ja lubamispoliitika on kolm komponenti.

Riistvaratoega võti ei ütle ikka midagi plaastri taseme, praeguse määramise ega sessiooni kasutamise kohta. Need vajavad oma kontrolle.

Tehke asendamine ja eemaldamine konkreetseks

Planeerige, mis juhtub, kui seade kaob, seda parandatakse, ümber määratakse või asendatakse. Emaplaadi vahetus või kustutatud võtmehoidla nõuab tavaliselt toetatud uuesti registreerimist, mitte vanade saladuste kopeerimist algse masina jäljendamiseks. Märkige vara, volituste identifikaator, omanik, registreerimisotsus ja juurdepääsu roll koos üles, et järgmine administraator näeks, mis millele kuulub. Eemaldage luba, mille lüüs tegelikult aktsepteerib, sest inventari oleku muutmine ei tõesta midagi olemasolevate volituste ega sessiooni kohta.

Seejärel testige piiri: kinnitatud seade ühendub, üksinda kopeeritud silt mitte, ja kasutusest kõrvaldatud identiteet lakkab töötamast. Fail nimega approved jääb sildiks, kuni usaldusväärne protsess annab sellele tähenduse.