PIV-ynloggen mislearret op Windows mei EAP-TLS? Kontrolearje it ûndertekenpaad

Lit it sertifikaat fan in PIV-kaart yn elk Windows-dialooch sjen en de VPN-ynloggen kin dochs mislearje, om't sichtberens en brûkberens ferskate eigenskippen binne. It sertifikaat is in iepenbier objekt; de ynloggen hat in priveekaai-operaasje nedich dy't de kaart neffens har eigen tagongsregels útfiert. Tusken dy twa feiten lizze fjouwer fazen dy't op fjouwer ferskillende manieren mislearje: profylseleksje, sertifikaatseleksje, pleatslike ûndertekening en falidaasje oan de serverkant. Se yn oarder trochrinnen makket fan in algemiene handdrukflater in konkrete fraach foar wa't it folgjende stik hat.

Begjin mei it profyl en de EAP-metoade

Iepenje de eigenskippen fan 'e ferbining en lês hokker EAP-metoade it profyl eins brûkt, en lês dan hokker sertifikaat de metoade ynsteld is om te selektearjen. In protte ymplemintaasjes hawwe sawol in sertifikaatbasearre bûtenste metoade as in binnenste metoade, en in sertifikaat dat op ferbiningsnivo ynsteld is, is net automatysk datjinge dat binnen EAP-TLS oanbean wurdt. As it profyl in sertifikaat by útjouwer of by ûnderwerpfilter kiest, kiest dat filter út wat Windows yn 'e oanbelangjende opslach sjen kin, net út wat de kaart tafallich befettet. In filter dat nergens mei oerienkomt falt werom op in fraach of op in stil mislearjen, ôfhinklik fan 'e konfiguraasje fan it profyl, en dêrom is it de muoite wurdich it keazen thumbprint foar elke wiziging fêst te lizzen.

Stel ek fêst oft de ferbining as de oanmelde brûker of as de masine rint. Dat iene feit beslút hokker sertifikaatopslaggen yn berik binne en hokker befeiligingskontekst de ûndertekening útfiert.

Befêstigje hokker sertifikaat keazen is

Fergelykje it thumbprint dat Windows keazen hat mei de eask: gebrûk foar kliïntautentikaasje, in keatling dy't by in fertroude woartel einiget, in identiteit dy't it belied fan 'e autentikaasjeserver bynt, en in jildichheidsperioade dy't it wiere momint fan 'e poging dekt. Dat binne aparte kontrôles en de lêste fangt mear ferrassingen as minsken ferwachtsje, benammen mei sertifikaten dy't trochrinnend útjûn wurde en cachede profylen dy't noch nei de kar fan juster wize.

Brûker- en masinekontekst is de oare helte fan 'e kontrôle. In sertifikaat yn 'e persoanlike opslach fan 'e brûker is ûnsichtber foar in tsjinst dy't as de masine rint, en in masinesertifikaat wurdt net troch in EAP-útwikseling yn brûkermodus oanbean, útsein as it profyl dat seit. It op 'e nij ymportearjen fan in sertifikaat yn 'e ferkearde opslach jout in sichtber sertifikaat en in ûnsichtber oanmeldbewiis. Lês it opslachpaad yn it profyl, net dat yn 'e dialooch dy't tafallich iepen gie.

Test de kaai-operaasje sûnder de PIN te rieden

As de seleksje klear is, is de fraach oft de kaart de ûndertekening útfiert. Windows hat in stipe kaartprovider of minidriver nedich om by de priveekaai te kommen, en it apparaat past syn eigen PIN- en oanwêzichheidsregels op 'e operaasje ta. In kaart dy't ynsteld is om foar elke ûndertekening in oanreitsjen te easkjen, docht oars as ien dy't in ferifikaasje foar in sesje cachet, en beide binne legitime konfiguraasjes dy't feroarje wannear't in fraach ferskynt. Dat ferskil ferklearret in ynloggen dy't by in frisse ynstekking slagget en nei in werhelling mislearret, sûnder dat ien sertifikaat ferkeard is.

certutil.exe -scinfo
certutil.exe -store -user My
Get-WinEvent -LogName Application -MaxEvents 40 | Where-Object ProviderName -like '*Ras*'

It earste kommando makket in ynventaris fan 'e kaart en rapportearret de status fan lêzer en provider, wat dokumintearre is yn 'e hantlieding fan Microsoft foar it debuggen fan smartcards. It twadde listet op wat de brûkerkontekst eins sjen kin. Gjin fan beide bewiist in slagge autentikaasje; beide beheine it plak dêr't it ophold.

Ried de PIN net. Kaarten hanthavenje besykhâldingslimiten, en in pear optimistyske besykjen feroarje in tastimmingsprobleem yn in blokkearre bewiis dat bestjoerlik herstel nedich hat. As in pleatslike ûndertekening mislearret, liz dan de providerstatus en de kaartstatus fêst ynstee fan fariaasjes te besykjen. Werhelje it besykjen ien kear mei itselde profyl, itselde sertifikaat en in bekind goed lêzerpaad, en fergelykje dan de twa records; ferskate fariabelen tagelyk feroarje jout in ferhaal ynstee fan in resultaat.

Lês beide kanten fan 'e handdruk

In foltôge ûndertekening is noch gjin talitting. De autentikaasjeserver moat de keatling akseptearje, weromlûking kontrolearje, de identiteit neffens syn hjoeddeistige regels bynt en it fersyk autorisearje; de kliïnt moat op syn bart it sertifikaat fan 'e server falidearje sa't it profyl easket. In TLS-warskowing dy't troch de server makke is, liket yn it log fan 'e kliïnt itselde as ien dy't pleatslik makke is, dêrom is de kant dy't him útstjoert wichtiger as de tekst fan 'e warskowing.

Sammele de Windows-eveneminten en de eveneminten oan de serverkant mei útlijnde tiidstimpels, en stel dan fêst hokker kant de earste flater makke hat. RFC 5216 beskriuwt de stap fan besitbewiis yn EAP-TLS, en in algemiene handdruk-warskowing neamt op himsels gjin pleatslike kaai-oarsaak. It fergelykjen fan tiidstimpels is wat twa logs yn in folchoarder feroaret.

Hâld de grinzen rjocht yn it ferslach

Skriuw it ferslach as fjouwer fazen mei ien oardiel elk: hokker profyl en kontekst rûnen, hokker sertifikaat Windows keazen hat, oft de kaart ûndertekene hat en wat de server besletten hat. Dy struktuer makket de folgjende stap fanselssprekkend en foarkomt de gewoane reparaasje fan falidaasje útskeakelje om in faze foarby te kommen dy't nimmen identifisearre hat.

In software-sertifikaat as tydlike fergeliking is in legitime test fan 'e behearder, mar it feroaret it model fan bewiis en garânsje, dus it heart yn in goedkarde wiziging en net yn in stilte-omwei yn produksje. Deselde dissipline jildt foar PIN-besykjen en foar it op 'e nij útjaan fan bewizen foardat de mislearjende faze bekend is. In ferfangingskaart dy't identyk mislearret is djoer bewiis dat it probleem nea op 'e kaart siet.