PIV saio-hasiera huts egiten du Windowsen EAP-TLS-rekin? Egiaztatu sinadura-bidea

Erakutsi PIV txartel baten ziurtagiria Windows elkarrizketa bakoitzean eta VPN saio-hasierak oraindik huts egin dezake, ikusgaitasuna eta erabilgarritasuna propietate ezberdinak direlako. Ziurtagiria objektu publikoa da; saio-hasierak txartelak bere sarbide-arauen arabera egiten duen gako pribatuaren eragiketa bat behar du. Bi gertaera horien artean lau fase daude, lau modu ezberdinetan huts egiten dutenak: profilaren hautaketa, ziurtagiriaren hautaketa, tokiko sinadura eta zerbitzariaren aldeko balidazioa. Hauek ordenan igarotzeak esku-emate errore orokorra hurrengo zatia duenarentzako galdera zehatz bihurtzen du.

Hasi profilarekin eta EAP metodoarekin

Ireki konexioaren propietateak eta irakurri profilak benetan zein EAP metodo erabiltzen duen, gero irakurri metodoa zein ziurtagiri hautatzeko konfiguratuta dagoen. Inplementazio askok bai kanpoko ziurtagiri bidezko metodo bat bai barne metodo bat dituzte, eta konexio mailan konfiguratutako ziurtagiri bat ez da automatikoki EAP-TLS barruan aurkezten dena. Profilak ziurtagiria igorlearen edo subjektu-iragazkiaren arabera aukeratzen badu, iragazki horrek Windows-ek dagokion biltegian ikus dezakeenetik aukeratzen du, txartelak kasualitatez duenetik ez. Ezeri bat egiten ez dion iragazki batek galdetegi batera edo huts isil batera jotzen du profilaren konfigurazioaren arabera, horregatik merezi du hautatutako hatz-marka edozein aldaketaren aurretik erregistratzea.

Erabaki ere konexioa saioa hasitako erabiltzaile gisa edo makina gisa exekutatzen den. Gertaera bakar horrek erabakitzen du zein ziurtagiri-biltegi sartzen diren esparruan eta zein segurtasun-testuinguruk egiten duen sinadura.

Berretsi zein ziurtagiri hautatu zen

Konparatu Windows-ek aukeratutako hatz-marka baldintzarekin: bezeroaren autentifikaziorako erabilera, erro fidagarri batean amaitzen den katea, autentifikazio-zerbitzariaren politikak mapatzen duen identitatea eta saiakeraren benetako unea estaltzen duen balio-epea. Egiaztapen bereiziak dira eta azkenak jendeak espero baino sorpresa gehiago harrapatzen ditu, bereziki etengabe igortzen diren ziurtagiriekin eta atzoko hautaketari oraindik seinalatzen dioten cachean gordetako profilekin.

Erabiltzailearen eta makinaren testuingurua egiaztapenaren beste erdia da. Erabiltzailearen biltegi pertsonalean dagoen ziurtagiri bat makina gisa exekutatzen den zerbitzu batentzat ikusezina da, eta makinaren ziurtagiri bat ez du erabiltzaile moduko EAP truke batek aurkezten profilak hala esaten ez badu. Ziurtagiri bat biltegi okerrean berrinportatzeak ziurtagiri ikusgai bat eta saio-hasierako kredentzial ikusezin bat sortzen ditu. Irakurri biltegiaren bidea profilean, kasualitatez ireki zen elkarrizketakoa ez.

Probatu gakoaren eragiketa PINa asmatu gabe

Hautaketa argituta, galdera da txartelak sinadura egingo duen. Windows-ek txartel hornitzaile onartu bat edo minidriver bat behar du gako pribatura iristeko, eta gailuak bere PIN eta presentzia arauak aplikatzen dizkio eragiketari. Sinadura bakoitzeko ukitu bat eskatzen duen txartel bat saio baterako egiaztapen bat gordetzen duen txartel batetik ezberdin jokatzen du, eta biak konfigurazio legitimotzat dira, galdeketa noiz agertuko den aldatzen dutenak. Ezberdintasun horrek azaltzen du txertatze berri batean arrakasta duen eta berrekitearen ondoren huts egiten duen saio-hasiera bat, inongo ziurtagiria oker egon gabe.

certutil.exe -scinfo
certutil.exe -store -user My
Get-WinEvent -LogName Application -MaxEvents 40 | Where-Object ProviderName -like '*Ras*'

Lehen komandoak txartela inbentariatzen du eta irakurgailuaren eta hornitzailearen egoera jakinarazten du, eta hori Microsoft-en txartel adimendunen arazketarako gidan dokumentatuta dago. Bigarrenak zerrendatzen du erabiltzaile testuinguruak benetan zer ikus dezakeen. Batak ere ez du autentifikazio arrakastatsurik frogatzen; biek non gelditu zen mugatzen dute.

Ez asmatu PINa. Txartelek berriro saiatzeko mugak ezartzen dituzte, eta saiakera baikor batzuek baimen arazo bat administrazio berreskuratzea behar duen kredentzial blokeatu batean bihurtzen dute. Tokiko sinadura batek huts egiten badu, erregistratu hornitzailearen egoera eta txartelaren egoera, aldaerak probatu beharrean. Errepikatu saiakera behin profil berarekin, ziurtagiri berarekin eta jakina ona den irakurgailu bide batekin, eta gero konparatu bi erregistroak; hainbat aldagai batera aldatzeak istorio bat sortzen du, ez emaitza bat.

Irakurri esku-ematearen bi aldeak

Amaitutako sinadura bat oraindik ez da onarpena. Autentifikazio zerbitzariak katea onartu, baliorik gabetzea egiaztatu, identitatea bere uneko arauen arabera mapatu eta eskaera baimendu behar ditu; bezeroak, bere aldetik, zerbitzariaren ziurtagiria balidatu behar du profilak eskatzen duen bezala. Zerbitzariak sortutako TLS abisu bat bezeroaren erregistroan bertan sortutakoaren berdin ikusten da, horregatik abisuaren testua baino gehiago axola du hura igortzen duen aldeak.

Bildu Windows gertaerak eta zerbitzariaren aldeko gertaerak lerrokatutako denbora-markekin, eta gero identifikatu zein aldek sortu zuen lehen hutsegitea. RFC 5216k EAP-TLSn jabetza-froga urratsa deskribatzen du, eta esku-emate abisu orokor batek ez du bere kabuz tokiko gako kausa bat izendatzen. Denbora-marken konparaketak bi erregistro segida bihurtzen ditu.

Mantendu mugak garbi txostenean

Idatzi txostena lau fase gisa, bakoitzak epai bat: zein profil eta testuinguru exekutatu ziren, zein ziurtagiri hautatu zuen Windows-ek, txartelak sinatu zuen eta zer erabaki zuen zerbitzariak. Egitura horrek hurrengo urratsa begi-bistakoa egiten du eta inork identifikatu ez zuen fase bat gainditzeko balidazioa desaktibatzearen ohiko konponketa eragozten du.

Software ziurtagiri bat behin-behineko konparazio gisa administrari proba legitimoa da, baina kredentzialaren eta bermearen eredua aldatzen du, beraz onartutako aldaketa batean dagokio, ez produkzioko isilpeko konponbide batean. Diziplina bera aplikatzen zaie PIN saiakerei eta kredentzialak berriro igortzeari huts egiten duen fasea ezagutu aurretik. Berdin huts egiten duen ordezko txartel bat arazoa inoiz txartelean ez zegoelako froga garestia da.