برچسب دستگاه، اعتبارنامه VPN نیست: سه ادعا که باید جدا شوند
برچسب انبار، کلید خصوصی و حفاظت سخت‌افزاری سه تضمین متفاوت هستند. تصمیم بگیرید دروازه کدام را بررسی می‌کند، سپس حذف را برنامه‌ریزی کنید.
نام میزبان‌ها، شماره‌های سریال و فایل‌های نشانگر پنهان به برچسب‌گذاری یک لپ‌تاپ کمک می‌کنند و هیچ‌کدام اثبات نمی‌کند که لپ‌تاپی که یکی از آن‌ها را ارائه می‌دهد دستگاه تأییدشده است. پذیرش بر سه ادعای جدا استوار است: اینکه دارایی همان است که سازمان ثبت کرده، اینکه کلاینت اعتبارنامه صادرشده برای آن را در اختیار دارد، و اینکه آن اعتبارنامه مطابق سیاست محافظت می‌شود. ادغام آن‌ها در یک بررسی همان راهی است که فایل‌های کپی‌شده و کلیدهای شبیه‌سازی‌شده از آن رد می‌شوند.
سه ادعا که در یکی ادغام می‌شوند
رکورد انبار دارایی و مالک آن را توصیف می‌کند. ثبت‌نام اعتبارنامه‌ای مناسب را به آن رکورد پیوند می‌دهد. در زمان اتصال، VPN اثباتی را که روش پیکربندی‌شده‌اش می‌خواهد بررسی می‌کند. شماره سریالی که در فرم ثبت‌نام تایپ می‌شود نباید به‌طور خودکار مجوز آن دستگاه را دریافت کند، چون فرم فقط اثبات می‌کند کسی شماره سریال را می‌داند. سه گام را جدا کنید تا هر یک به‌تنهایی آزمون‌پذیر شود.
فایل نشانگر از یک جهت بدتر از شماره سریال است: کپی کردنش بی‌زحمت است و هر نسخه به همان اندازه قانع‌کننده به نظر می‌رسد.
ببینید دستگاه واقعاً چه ارائه می‌دهد
پیش از آنکه فرض کنید اعتبارنامه مخصوص دستگاه است، به اعتبارنامه‌ای که کلاینت واقعاً ذخیره می‌کند نگاه کنید.
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>فهرست نشان می‌دهد کدام گواهی‌های ماشین وجود دارند و آیا کلید خصوصی حاضر است، و این همان تفاوت میان یک فایل عمومی و یک اعتبارنامه قابل استفاده است. خروجی انبار نام ارائه‌دهنده را اضافه می‌کند، و ارائه‌دهنده نرم‌افزاری در برابر ارائه‌دهنده رمزنگاری پلتفرم نخستین سرنخ درباره محل زندگی کلید است. گواهی بدون کلید خصوصی‌اش چیزی را احراز هویت نمی‌کند، در حالی که کلید خصوصی صادرشده به ماشین دیگر اعتبارنامه را قابل حمل می‌کند هر چه هم موضوعش بگوید. اثر انگشت و ارائه‌دهنده را ثبت کنید، نه نام نمایشی را.
حفاظت سخت‌افزاری به شواهد نیاز دارد
گواهی اطلاعات عمومی است، پس پرسش معنادار این است که کلید خصوصی کجا زندگی می‌کند و آیا آن حفاظت گواهی شده است. گواهی‌دهی کلید TPM توصیف درخواست‌کننده‌ای است که به مرجع صدور گواهی اثبات می‌کند کلیدی توسط یک TPM مورد اعتماد محافظت می‌شود، که از نام بردن یک ارائه‌دهنده سخت‌افزاری در درخواست قوی‌تر است. این همچنین معماری‌ای با فرض‌های اعتماد خودش است، نه چیزی که کلاینت VPN به‌طور پیش‌فرض فعال کند. تأیید کنید صادرکننده چه می‌پذیرد و دروازه درباره اعتبارنامه حاصل چه اعمال می‌کند، زیرا ذخیره‌سازی، گواهی‌دهی و سیاست پذیرش سه مؤلفه‌اند.
کلید با پشتیبانی سخت‌افزاری هنوز هیچ چیزی درباره سطح وصله، تخصیص کنونی یا نحوه استفاده از نشست نمی‌گوید. آن‌ها کنترل‌های خودشان را می‌خواهند.
جایگزینی و حذف را مشخص کنید
برنامه‌ریزی کنید وقتی دستگاهی گم، تعمیر، بازتخصیص یا جایگزین می‌شود چه رخ می‌دهد. تغییر مادربورد یا انبار کلید پاک‌شده معمولاً به ثبت‌نام مجدد پشتیبانی‌شده نیاز دارد، نه کپی کردن رازهای قدیمی برای تقلید ماشین اصلی. دارایی، شناسه اعتبارنامه، مالک، تصمیم ثبت‌نام و نقش دسترسی را با هم ثبت کنید تا مدیر بعدی ببیند چه چیزی به چه چیزی تعلق دارد. مجوزی را که دروازه واقعاً می‌پذیرد حذف کنید، چون تغییر وضعیت انبار چیزی درباره اعتبارنامه یا نشست موجود اثبات نمی‌کند.
سپس مرز را بیازمایید: دستگاه تأییدشده وصل می‌شود، برچسب کپی‌شده به‌تنهایی نه، و هویت بازنشسته از کار می‌افتد. فایلی به نام approved تا زمانی که فرایندی قابل اعتماد به آن معنا ندهد برچسب می‌ماند.