Laitetunnisteet eivät ole VPN-tunnistetietoja: kolme väitettä erotettavaksi

Isäntänimet, sarjanumerot ja piilotetut merkintätiedostot auttavat merkitsemään kannettavan tietokoneen, eikä mikään niistä todista, että sellaisen esittävä kannettava on hyväksytty laite. Pääsy perustuu kolmeen erilliseen väitteeseen: että resurssi on se, jonka organisaatio kirjasi, että asiakas omistaa sille myönnetyn tunnistetiedon ja että tämä tunnistetieto on suojattu kuten käytäntö vaatii. Niiden yhdistäminen yhdeksi tarkistukseksi on se tapa, jolla kopioidut tiedostot ja kloonatut avaimet livahtavat läpi.

Kolme väitettä, jotka sulautetaan yhdeksi

Inventaariotietue kuvaa resurssin ja sen omistajan. Rekisteröinti sitoo sopivan tunnistetiedon tähän tietueeseen. Yhteyden muodostuksen aikana VPN vahvistaa sen todisteen, jota sen määritetty menetelmä vaatii. Rekisteröintilomakkeeseen kirjoitettu sarjanumero ei saisi automaattisesti saada kyseisen laitteen valtuutusta, koska lomake todistaa vain, että joku tuntee sarjanumeron. Erota kolme vaihetta, niin jokainen voidaan testata erikseen.

Merkintätiedosto on yhdessä suhteessa huonompi kuin sarjanumero: sen kopioiminen on triviaalia, ja jokainen kopio näyttää yhtä vakuuttavalta.

Katso, mitä laite todella esittää

Katso tunnistetietoa, jonka asiakas todella tallentaa, ennen kuin oletat sen olevan laitekohtainen.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Luettelo näyttää, mitkä konesertifikaatit ovat olemassa ja onko yksityinen avain läsnä, mikä on ero julkisen tiedoston ja käyttökelpoisen tunnistetiedon välillä. Säilön tuloste lisää tarjoajan nimen, ja ohjelmistotarjoaja vastaan alustan salauspalveluntarjoaja on ensimmäinen vihje siitä, missä avain asuu. Sertifikaatti ilman yksityistä avaintaan ei todista mitään, kun taas toiselle koneelle viety yksityinen avain tekee tunnistetiedosta siirrettävän riippumatta siitä, mitä sen subjekti sanoo. Kirjaa sormenjälki ja tarjoaja näyttönimen sijaan.

Laitteistopohjainen suojaus tarvitsee todisteita

Sertifikaatti on julkista tietoa, joten olennainen kysymys on, missä yksityinen avain asuu ja onko tämä suojaus todennettu. TPM-avaimen todentaminen kuvaa hakijaa, joka todistaa varmentajalle avaimen olevan luotetun TPM:n suojaama, mikä on vahvempaa kuin laitteistotarjoajan nimeäminen pyynnössä. Se on myös arkkitehtuuri, jolla on omat luottamusolettamansa, ei jotain, jonka VPN-asiakas ottaa oletuksena käyttöön. Vahvista, mitä myöntäjä hyväksyy ja mitä yhdyskäytävä vaatii tuloksena syntyvästä tunnistetiedosta, koska tallennus, todentaminen ja pääsykäytäntö ovat kolme osaa.

Laitteistopohjainen avain ei silti kerro mitään paikkaustasosta, nykyisestä kohdistuksesta tai istunnon käytöstä. Ne tarvitsevat omat valvontansa.

Tee korvaaminen ja poisto konkreettisiksi

Suunnittele, mitä tapahtuu, kun laite katoaa, korjataan, kohdistetaan uudelleen tai korvataan. Emolevyn vaihto tai tyhjennetty avainsäilö vaatii yleensä tuetun uudelleenrekisteröinnin sen sijaan, että vanhat salaisuudet kopioitaisiin alkuperäisen koneen jäljittelemiseksi. Kirjaa resurssi, tunnistetiedon tunniste, omistaja, rekisteröintipäätös ja käyttörooli yhteen, jotta seuraava ylläpitäjä näkee, mikä kuuluu mihinkin. Poista valtuutus, jonka yhdyskäytävä todella hyväksyy, koska inventaarion tilan muuttaminen ei todista mitään olemassa olevasta tunnistetiedosta tai istunnosta.

Testaa sitten raja: hyväksytty laite yhdistyy, pelkkä kopioitu tarra ei, ja käytöstä poistettu identiteetti lakkaa toimimasta. Tiedosto nimeltä approved jää tarraksi, kunnes luotettava prosessi antaa sille merkityksen.