डिवाइस टैग VPN क्रेडेंशियल नहीं हैं: अलग करने योग्य तीन दावे

होस्टनेम, सीरियल नंबर और छिपी मार्कर फ़ाइलें लैपटॉप को लेबल करने में मदद करती हैं, और इनमें से कोई भी यह सिद्ध नहीं करता कि इनमें से कोई प्रस्तुत करने वाला लैपटॉप ही स्वीकृत डिवाइस है। प्रवेश तीन अलग दावों पर टिका है: संपत्ति वही है जो संगठन ने दर्ज की, क्लाइंट के पास उसके लिए जारी क्रेडेंशियल है, और वह क्रेडेंशियल नीति के अनुसार संरक्षित है। इन्हें एक ही जाँच में मिला देना ही वह रास्ता है जिससे नकल की गई फ़ाइलें और क्लोन की गई कुंजियाँ निकल जाती हैं।

एक में मिलाए जाने वाले तीन दावे

इन्वेंटरी रिकॉर्ड संपत्ति और उसके स्वामी का वर्णन करता है। नामांकन उपयुक्त क्रेडेंशियल को उस रिकॉर्ड से जोड़ता है। कनेक्शन के समय VPN उस प्रमाण को सत्यापित करता है जिसकी उसकी कॉन्फ़िगर की गई विधि मांग करती है। नामांकन फ़ॉर्म में टाइप किया गया सीरियल नंबर स्वतः उस डिवाइस का प्राधिकरण नहीं पाना चाहिए, क्योंकि फ़ॉर्म केवल यह सिद्ध करता है कि किसी को सीरियल नंबर पता है। तीन चरणों को अलग करें और हर एक को अलग से परखा जा सकता है।

मार्कर फ़ाइल एक मामले में सीरियल नंबर से बुरी है: उसकी नकल करना तुच्छ है, और हर नकल उतनी ही विश्वसनीय दिखती है।

देखें कि डिवाइस वास्तव में क्या प्रस्तुत करता है

यह मानने से पहले कि क्रेडेंशियल डिवाइस-विशिष्ट है, उस क्रेडेंशियल को देखें जो क्लाइंट वास्तव में संग्रहीत करता है।

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

सूची दिखाती है कि कौन-से मशीन प्रमाणपत्र मौजूद हैं और निजी कुंजी उपस्थित है या नहीं, जो सार्वजनिक फ़ाइल और उपयोग योग्य क्रेडेंशियल के बीच का अंतर है। स्टोर डंप प्रदाता का नाम जोड़ता है, और सॉफ़्टवेयर प्रदाता बनाम प्लेटफ़ॉर्म क्रिप्टो प्रदाता इस बात का पहला संकेत है कि कुंजी कहाँ रहती है। अपनी निजी कुंजी के बिना प्रमाणपत्र कुछ भी प्रमाणित नहीं करता, जबकि दूसरी मशीन पर निर्यात की गई निजी कुंजी क्रेडेंशियल को पोर्टेबल बना देती है चाहे उसका विषय कुछ भी कहे। प्रदर्शित नाम के बजाय थंबप्रिंट और प्रदाता दर्ज करें।

हार्डवेयर सुरक्षा को साक्ष्य चाहिए

प्रमाणपत्र सार्वजनिक जानकारी है, इसलिए सार्थक प्रश्न यह है कि निजी कुंजी कहाँ रहती है और क्या वह सुरक्षा प्रमाणित हुई है। TPM कुंजी प्रमाणन ऐसे अनुरोधकर्ता का वर्णन करता है जो प्रमाणपत्र प्राधिकरण को सिद्ध करता है कि कुंजी किसी विश्वसनीय TPM द्वारा संरक्षित है, जो अनुरोध में हार्डवेयर प्रदाता का नाम लेने से अधिक मज़बूत है। यह अपनी स्वयं की विश्वास-मान्यताओं वाली संरचना भी है, ऐसा कुछ नहीं जिसे VPN क्लाइंट डिफ़ॉल्ट रूप से सक्षम करता हो। पुष्टि करें कि जारीकर्ता क्या स्वीकार करता है और गेटवे परिणामी क्रेडेंशियल के बारे में क्या लागू करता है, क्योंकि भंडारण, प्रमाणन और प्रवेश नीति तीन घटक हैं।

हार्डवेयर-समर्थित कुंजी फिर भी पैच स्तर, वर्तमान आवंटन या सत्र के उपयोग के बारे में कुछ नहीं कहती। उनके अपने नियंत्रण चाहिए।

प्रतिस्थापन और हटाने को ठोस बनाएं

योजना बनाएं कि डिवाइस खोने, मरम्मत होने, फिर से सौंपे जाने या बदले जाने पर क्या होता है। मदरबोर्ड बदलना या मिटाया गया कुंजी स्टोर आमतौर पर समर्थित पुनः नामांकन मांगता है, मूल मशीन की नकल करने के लिए पुराने रहस्यों की नकल करने के बजाय। संपत्ति, क्रेडेंशियल पहचानकर्ता, स्वामी, नामांकन निर्णय और पहुँच भूमिका एक साथ दर्ज करें, ताकि अगला प्रशासक देख सके कि क्या किसका है। वह प्राधिकरण हटाएं जिसे गेटवे वास्तव में स्वीकार करता है, क्योंकि इन्वेंटरी स्थिति बदलना मौजूदा क्रेडेंशियल या सत्र के बारे में कुछ सिद्ध नहीं करता।

फिर सीमा परखें: स्वीकृत डिवाइस जुड़ता है, अकेला नकल किया गया लेबल नहीं, और सेवानिवृत्त पहचान काम करना बंद कर देती है। approved नाम की फ़ाइल तब तक लेबल रहती है जब तक कोई भरोसेमंद प्रक्रिया उसे अर्थ न दे।