Visual Studio motel VPN-rekin soilik? Egiaztatu CRL eta OCSP

Visual Studio etxean normaltasunez abiatzen da, gero ordenagailu eramangarri bera korporazio-tunelera konektatzen da eta abiarazte bakoitzak erdi minutu egiten du hasierako pantailan. Kendu politika eta atzerapena berarekin doa; kendu tunela eta gauza bera gertatzen da. Bi behaketak zuzenak dira, eta horregatik bi osagaiak elkarri errua egotzi diote etengabe. Galdera erabakigarria da: ziurtagiri baten baliogabetze-kontsulta tunelak soilik eskaintzen duen bide baten zain dago, edo ez du inolako biderik aurkitzen.

Neurtu jaitsiera, ez abiaraztea

Sinatutako WDAC politika bat, SiPolicy.p7b gisa zabalduta, zein irudi exekuta daitezkeen makinan zehazten du. Kodearen osotasunak irudi baten sinadura-katea baliozkotzen du exekuzioaren aurretik, eta baliozkotze horrek baliogabetze-galdera bat izan dezake. Erantzuna ziurtagiriak bere barruan aipatzen duen CRL banaketa-puntuaren edo OCSP erantzulearen araberakoa da.

Sare-eskaera arruntak dira, beraz haien kostua erantzulea non dagoen araberakoa da. Tunelaren bidez soilik irisgarria denean, edo bere izena tunelaren atzeko DNS zerbitzari baten bidez soilik ebazten denean, baliozkotzeak tunela prest egon arte itxaroten du. Visual Studio-k abiaraztean sinatutako assembly eta hedapen ugari kargatzen ditu, eta irudi bakoitzeko atzerapen txikiak geldialdi ikusgai bihurtzen dira. Ezer ez dago gaizki eratuta eta politikak konfiguratuta dagoen bezala jokatzen du, eta horregatik politikak kentzeak arazoa konpontzen duela dirudi.

Sinatutako irudi bakoitzak sare-dei bat eragin dezake

Hasi jada diskoan dagoen fitxategi bitar sinatu batekin eta eskatu plataformari abiarazte batek erabiltzen duen jaitsiera-jokabide berarekin egiaztatzeko. Exekutatu komandoa behin tunelean eta behin kanpoan, gero alderatu jaitsiera-lerroak eta ez azken epaia.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

Irteerak katea, CRL eta OCSP helbideak eta jaitsiera bakoitzak arrakasta izan zuen ala ez zerrendatzen ditu. Tunelean denbora agortzen duen eta kanpoan erantzuten duen erantzulea da behar duzun froga, eta moteltasunaren inpresioak baino askoz pisu handiagoa du. Jaitsierak motel lortzen badu, idatzi helbidea, hurrengo urratsak host hori zuzenean proba dezan.

Ebatzi erantzulearen host-izena eta probatu irisgarritasuna aplikaziotik kanpo, zeren ebatzi egiten ez den izena ez baitu inoiz konponduko bezero-konfigurazio batek. CodeIntegrity eragiketa-erregistroak frogaren beste erdia ematen du, baliozkotze-gertaera abiarazte motelaren denbora-zigiluarekin lotuta.

Murriztu atzerapena kontrola kendu gabe

Politika desaktibatzeak edo auditoretza-modura aldatzeak atzerapena desagertarazten du eta erakundeak zabaldutako kontrola kentzen du, beraz har ezazu konponketa oker gisa. Aukera estuagoak hauek dira: bideratze-aldaketa bat erantzulea tunelaren bidez irisgarri izan dadin, tunel zatituaren salbuespen bat erantzulearen host-entzat, DNS zuzenketa bat izena helbide iristezin batera ebazten denean, edo baliogabetze-datuetarako onartutako cache-proxy bat. Bakoitzak jabe desberdin bat du: PKI taldeak erantzulearen irisgarritasuna du, sare-taldeak tunelaren zatiketa eta amaiera-puntuko taldeak politika.

Baliogabetze-host guztiak tunelatik kanpo uztea ez da automatikoki segurua, barne-erantzule bat nahita barnekoa izan baitaiteke. Berretsi salbuespena PKI kudeatzen duen taldearekin, ziurtagiri-egiaztapenak isilka internet publikoara bidaltzen dituen arau bat idatzi aurretik. Berrespen hori gabe egindako aldaketa politikaren hurrengo freskatzean atzera botatzen den horietakoa da.

Egiaztatu abiarazte hotza aldaketaren ondoren

Neurtu abiarazte hotza bi egoeretan eta gorde zenbakiak, abiarazte epelak ia ezer frogatzen ez baitu assemblyak cachean daudenean. Errepikatu abiaraztea saio berri batetik, hedapenen karga-bidea berriro proba dadin.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Konpondutako konfigurazioak oraindik erantzulearekin harremanetan jartzen da, edo zure PKI taldeak onartutako cache-bide bat erabiltzen du, eta erregistroak baliozkotzea amaitzen dela erakusten du, denbora agortu beharrean. Berretsi berriki sinatutako aplikazio bat oraindik abiatzen dela, dena onartzen duen politika ez baita konponketa arrakastatsua. Egiaztatu politika aktiboaren karpeta eta betearazpen-egoera ere, arazten ari zaren politika exekutatzen ari dena dela jakin dadin. Mantendu ziurtagiri-katea, erantzulearen helbidea eta abiaraztearen denbora-zigiluak txartel berean, berritze batek normalean erantzulea mugitzen duelako eta salbuespen edo DNS araua zaharkituta uzten duelako.