Gailu-etiketak ez dira VPN kredentzialak: bereizi beharreko hiru baieztapen

Ostalari-izenek, serie-zenbakiek eta markatzaile-fitxategi ezkutuek ordenagailu eramangarri bat etiketatzen laguntzen dute, eta horietako batek ere ez du frogatzen horietako bat aurkezten duen ordenagailua onartutako gailua denik. Onarpena hiru baieztapen bereizitan oinarritzen da: aktiboa erakundeak erregistratu zuena dela, bezeroak horretarako jaulkitako kredentziala duela eta kredentzial hori politikak eskatzen duen bezala babestuta dagoela. Hauek egiaztapen bakar batean batzea da kopiatutako fitxategiak eta klonatutako gakoak ihes egiteko modua.

Bat egiten diren hiru baieztapen

Inbentario-erregistroak aktiboa eta haren jabea deskribatzen ditu. Erregistroak kredentzial egoki bat lotzen dio erregistro horri. Konektatzeko unean, VPNak bere metodo konfiguratuak eskatzen duen froga egiaztatzen du. Erregistro-inprimaki batean idatzitako serie-zenbaki batek ez luke automatikoki gailu horren baimena jaso behar, inprimakiak norbait serie-zenbakia ezagutzen duela baino ez baitu frogatzen. Bereizi hiru urratsak eta bakoitza bere kabuz proba daiteke.

Markatzaile-fitxategi bat serie-zenbaki bat baino okerragoa da alderdi batean: kopiatzea hutsala da, eta kopia bakoitza berdintsu sinesgarria dirudi.

Ikusi zer aurkezten duen gailuak benetan

Begiratu bezeroak benetan gordetzen duen kredentzialari gailuaren berariazkoa dela suposatu aurretik.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Zerrendak erakusten du zein makinazertifikatu dauden eta gako pribatu bat badagoen, hau da, fitxategi publiko baten eta erabilgarria den kredentzial baten arteko aldea. Biltegiaren irteerak hornitzailearen izena gehitzen du, eta software-hornitzaile bat plataformako kripto-hornitzaile baten aurka gakoa non bizi den lehen arrastoa da. Gako pribaturik gabeko ziurtagiriak ez du ezer autentifikatzen, aldiz beste makina batera esportatutako gako pribatu batek kredentziala eramangarri egiten du bere subjektuak esaten duena esanda ere. Idatzi hatz-marka eta hornitzailea, bistaratzeko izenaren ordez.

Hardwarearen babesak frogak behar ditu

Ziurtagiria informazio publikoa da, beraz galdera esanguratsua da non bizi den gako pribatua eta babes hori egiaztatu den. TPM gakoen egiaztapenak eskatzaile bat deskribatzen du, ziurtagiri-agintaritza bati frogatzen diona gako bat TPM fidagarri batek babesten duela, eta hori indartsuagoa da eskaera batean hardware-hornitzaile bat izendatzea baino. Bere konfiantza-suposizio propioak dituen arkitektura ere bada, ez VPN bezero batek lehenespenez gaitzen duen zerbait. Berretsi igorleak zer onartzen duen eta atebideak lortutako kredentzialari buruz zer behartzen duen, biltegiratzea, egiaztapena eta onarpen-politika hiru osagai baitira.

Hardwarez babestutako gako batek oraindik ez du ezer esaten adabaki-mailari, uneko esleipenari edo saioa nola erabiltzen den. Horiek beren kontrolak behar dituzte.

Egin ordezkatzea eta kentzea zehatzak

Planifikatu zer gertatzen den gailu bat galdu, konpondu, berriro esleitu edo ordezkatzen denean. Plaka nagusiaren aldaketak edo ezabatutako gako-biltegiak onartutako berrerregistratzea eskatzen du normalean, jatorrizko makina imitatzeko sekretu zaharrak kopiatu beharrean. Idatzi aktiboa, kredentzialaren identifikatzailea, jabea, erregistro-erabakia eta sarbide-rola elkarrekin, hurrengo administratzaileak zer zeri dagokion ikus dezan. Kendu atebideak benetan onartzen duen baimena, inbentario-egoera bat aldatzeak ez baitu ezer frogatzen lehendik dagoen kredentzial edo saio bati buruz.

Gero probatu muga: onartutako gailu bat konektatzen da, kopiatutako etiketa soil bat ez, eta erretiratutako identitate bat funtzionatzeari uzten dio. approved izeneko fitxategi bat etiketa izaten jarraitzen du prozesu fidagarri batek esanahia eman arte.