As etiquetas de dispositivo non son credenciais VPN: tres afirmacións que separar

Os nomes de host, os números de serie e os ficheiros marcadores ocultos axudan a etiquetar un portátil, e ningún deles demostra que o portátil que presenta un sexa o dispositivo aprobado. A admisión apoia en tres afirmacións separadas: que o activo é o que a organización rexistrou, que o cliente posúe a credencial emitida para el e que esa credencial está protexida como esixe a política. Fusionalas nunha soa comprobación é a forma en que se coan os ficheiros copiados e as claves clonadas.

Tres afirmacións que se fusionan nunha

O rexistro de inventario describe o activo e o seu propietario. A alta vincula unha credencial axeitada a ese rexistro. No momento da conexión, a VPN verifica a proba que esixe o seu método configurado. Un número de serie escrito nun formulario de alta non debería recibir automaticamente a autorización dese dispositivo, porque o formulario só demostra que alguén coñece o número de serie. Separe os tres pasos e cada un pode probarse pola súa conta.

Un ficheiro marcador é peor ca un número de serie nun aspecto: copialo é trivial, e cada copia parece igual de convincente.

Vexa que presenta realmente o dispositivo

Mire a credencial que o cliente almacena realmente antes de supoñer que é específica do dispositivo.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

A listaxe mostra que certificados de máquina existen e se hai unha clave privada, que é a diferenza entre un ficheiro público e unha credencial utilizábel. O volcado do almacén engade o nome do provedor, e un provedor de software fronte a un provedor criptográfico de plataforma é a primeira pista sobre onde vive a clave. Un certificado sen a súa clave privada non autentica nada, mentres que unha clave privada exportada a outra máquina fai que a credencial sexa portátil diga o que diga o seu suxeito. Anote a impresión dixital e o provedor en lugar do nome visible.

A protección de hardware necesita probas

Un certificado é información pública, así que a pregunta significativa é onde vive a clave privada e se esa protección foi atestada. A atestación de claves TPM describe un solicitante que demostra a unha autoridade de certificación que unha clave está protexida por un TPM de confianza, o que é máis forte que nomear un provedor de hardware nunha solicitude. Tamén é unha arquitectura coas súas propias suposicións de confianza, non algo que un cliente VPN habilite por defecto. Confirme que acepta o emisor e que impón a pasarela sobre a credencial resultante, porque almacenamento, atestación e política de admisión son tres compoñentes.

Unha clave con respaldo de hardware segue sen dicir nada sobre o nivel de parches, a asignación actual ou como se usa a sesión. Iso necesita os seus propios controis.

Faga concretos o substitución e a retirada

Planifique que ocorre cando un dispositivo se perde, se repara, se reasigna ou se substitúe. Un cambio de placa base ou un almacén de claves borrado adoita requirir unha alta de novo soportada en lugar de copiar segredos antigos para imitar a máquina orixinal. Anote o activo, o identificador de credencial, o propietario, a decisión de alta e o rol de acceso xuntos, para que o seguinte administrador vexa que pertence a que. Elimine a autorización que a pasarela acepta realmente, porque cambiar un estado de inventario non demostra nada sobre unha credencial ou unha sesión existentes.

Logo probe o límite: un dispositivo aprobado conéctase, unha etiqueta copiada por si soa non, e unha identidade retirada deixa de funcionar. Un ficheiro chamado approved segue sendo unha etiqueta ata que un proceso fiable lle dea significado.