Apparaatlabels binne gjin VPN-bewiisstikken: trije bewearingen om te skieden

Hostnammen, searjenûmers en ferburgen markearre bestannen helpe om in laptop te labeljen, en gjinien fan harren bewissiget dat de laptop dy't ien presintearret it goedkarde apparaat is. Tagong rêst op trije aparte bewearingen: it besit is datjinge dat de organisaasje registrearre hat, de kliïnt hat de bewiisstikken dy't dêrfoar útjûn binne, en dy bewiisstikken binne beskerme sa't belied easket. Se gearfoegje ta ien kontrôle is de manier wêrop kopiearre bestannen en kloande kaaien trochglippe.

Trije bewearingen dy't ta ien gearfoege wurde

It ynventarisrekord beskriuwt it besit en syn eigner. Ynskriuwing bûn in passende bewiisstik oan dat rekord. By ferbining ferifiearret de VPN it bewiis dat syn konfigurearre metoade easket. In searjenûmer dat yn in ynskriuwformulier yntype wurdt, soe net automatysk de autorisaasje fan dat apparaat krije moatte, want it formulier bewissiget allinnich dat immen it searjenûmer ken. Skied de trije stappen en elk kin op himsels test wurde.

In markearre bestân is yn ien opsicht slimmer as in searjenûmer: it kopiearjen is triviaal, en elke kopy liket like oertsjûgjend.

Sjoch wat it apparaat wier presintearret

Sjoch nei de bewiisstikken dy't de kliïnt wier bewarret foardat jo oannimme dat se apparaatspecifyk binne.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

De listlitse lit sjen hokker masjinesertifikaten besteane en oft der in priveekaaai oanwêzich is, wat it ferskil is tusken in iepenbier bestân en in brûkber bewiisstik. De opslachdump foeget de namme fan 'e oanbieder ta, en in software-oanbieder tsjin in platfoarmkryptooanbieder is de earste oanwizing oer wêr't de kaaai wennet. In sertifikaat sûnder syn priveekaaai autentisearret neat, wylst in priveekaaai eksportearre nei in oare masjine it bewiisstik draachber makket wat syn subjekt ek seit. Skriuw de tommeftprint en de oanbieder op ynstee fan 'e werjefte namme.

Hardwarebeskerming hat bewiis nedich

In sertifikaat is iepenbiere ynformaasje, dus de sinfolle fraach is wêr't de priveekaaai wennet en oft dy beskerming attestearre is. TPM-kaaiattestaasje beskriuwt in oanfreger dy't oan in sertifikaasjeautoriteit bewissiget dat in kaaai troch in fertroud TPM beskerme wurdt, wat sterker is as it neamen fan in hardware-oanbieder yn in oanfraach. It is ek in arsjitektuer mei syn eigen fertrouwensoannames, net eat dat in VPN-kliïnt standert ynskeakelet. Befêstigje wat de útjouwer akseptearret en wat de poarte ôftwingt oangeande it resultearjende bewiisstik, want opslach, attestaasje en tagongsbelied binne trije ûnderdielen.

In hardware-ûnderstipe kaaai seit noch neat oer patch-nivo, hjoeddeiske tawizing of hoe't de sesje brûkt wurdt. Dêrfoar binne eigen kontrôles nedich.

Meitsje ferfanging en fuortheljen konkreet

Plean wat der bart as in apparaat ferlern giet, reparearre, op 'e nij tawiisd of ferfongen wurdt. In feroaring fan it memmeboerd of in wiskte kaaiopslach easket meastentiids in stipe opnij-ynskriuwing ynstee fan it kopiearjen fan âlde geheimen om de oarspronklike masjine nei te beartsen. Skriuw it besit, de bewiisstikidentifikaasje, de eigner, it ynskriuwbeslút en de tagongsrol byinoar, sadat de folgjende behearder sjocht wat by wat heart. Helje de autorisaasje fuort dy't de poarte wier akseptearret, want it feroarjen fan in ynventarisstatus bewissiget neat oer in besteand bewiisstik of in sesje.

Test dan de grins: in goedkard apparaat ferbynt, in kopiearre label allinnich net, en in ôftrede identiteit hâldt op mei wurkjen. In bestân mei de namme approved bliuwt in label oant in betrouber proses der betsjutting oan jout.