תגי מכשיר אינם אישורי VPN: שלוש טענות שיש להפריד

שמות מארח, מספרים סידוריים וקובצי סימון מוסתרים עוזרים לתייג מחשב נייד, ואף אחד מהם אינו מוכיח שהמחשב הנייד שמציג אחד מהם הוא המכשיר המאושר. הקבלה נשענת על שלוש טענות נפרדות: שהנכס הוא זה שהארגון רשם, שהלקוח מחזיק באישור שהונפק עבורו, ושאישור זה מוגן כפי שהמדיניות דורשת. איחודן לבדיקה אחת הוא הדרך שבה קבצים מועתקים ומפתחות משוכפלים חומקים.

שלוש טענות שמאוחדות לאחת

רשומת המלאי מתארת את הנכס ואת בעליו. ההרשמה קושרת אישור מתאים לאותה רשומה. בזמן החיבור ה-VPN מאמת את ההוכחה שהשיטה המוגדרת שלו דורשת. מספר סידורי שהוקלד בטופס הרשמה לא אמור לקבל אוטומטית את ההרשאה של אותו מכשיר, משום שהטופס מוכיח רק שמישהו יודע את המספר הסידורי. הפרידו בין שלושת השלבים וכל אחד ניתן לבדיקה בפני עצמו.

קובץ סימון גרוע ממספר סידורי בהיבט אחד: העתקתו טריוויאלית, וכל עותק נראה משכנע באותה מידה.

ראו מה המכשיר באמת מציג

הביטו באישור שהלקוח באמת מאחסן לפני שהנחתם שהוא ייחודי למכשיר.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

הרשימה מראה אילו אישורי מכונה קיימים והאם קיים מפתח פרטי, וזה ההבדל בין קובץ ציבורי לאישור שמיש. פלט המאגר מוסיף את שם הספק, וספק תוכנה לעומת ספק קריפטו של פלטפורמה הוא הרמז הראשון להיכן חי המפתח. אישור בלי המפתח הפרטי שלו אינו מאמת דבר, בעוד שמפתח פרטי שיוצא למכונה אחרת הופך את האישור לנייד יאמר הנושא שלו מה שיאמר. רשמו את טביעת האצבע ואת הספק ולא את שם התצוגה.

הגנת חומרה דורשת ראיות

אישור הוא מידע ציבורי, ולכן השאלה המשמעותית היא היכן חי המפתח הפרטי והאם ההגנה הזו אושרה. אישור מפתח TPM מתאר מבקש שמוכיח לרשות אישורים שמפתח מוגן בידי TPM מהימן, וזה חזק יותר מאשר לנקוב בשם ספק חומרה בבקשה. זו גם ארכיטקטורה עם הנחות אמון משלה, לא משהו שלקוח VPN מפעיל כברירת מחדל. אשרו מה המנפיק מקבל ומה השער כופה בנוגע לאישור הנובע, משום שאחסון, אישור ומדיניות קבלה הם שלושה רכיבים.

מפתח נתמך חומרה עדיין אינו אומר דבר על רמת התיקונים, על ההקצאה הנוכחית או על אופן השימוש בהפעלה. אלה זקוקים לבקרות משלהם.

הפכו את ההחלפה וההסרה למוחשיות

תכננו מה קורה כשמכשיר הולך לאיבוד, מתוקן, מוקצה מחדש או מוחלף. החלפת לוח אם או מאגר מפתחות שנמחק דורשים בדרך כלל רישום מחדש נתמך ולא העתקת סודות ישנים כדי לחקות את המכונה המקורית. רשמו את הנכס, את מזהה האישור, את הבעלים, את החלטת ההרשמה ואת תפקיד הגישה יחד, כדי שהמנהל הבא יראה מה שייך למה. הסירו את ההרשאה שהשער באמת מקבל, משום ששינוי סטטוס מלאי אינו מוכיח דבר על אישור או הפעלה קיימים.

אחר כך בחנו את הגבול: מכשיר מאושר מתחבר, תווית מועתקת לבדה לא, וזהות שהוצאה משימוש מפסיקה לעבוד. קובץ בשם approved נשאר תווית עד שתהליך מהימן נותן לו משמעות.