Az eszközcímkék nem VPN-hitelesítő adatok: három állítás, amelyet szét kell választani

A gazdagépnevek, a sorozatszámok és a rejtett jelölőfájlok segítenek felcímkézni egy laptopot, és egyik sem bizonyítja, hogy az ilyet bemutató laptop a jóváhagyott eszköz. A beengedés három külön állításon nyugszik: az eszköz az, amelyet a szervezet rögzített, az ügyfél birtokolja a számára kiállított hitelesítő adatot, és ez az adat a szabályzat szerint védett. Ezeket egyetlen ellenőrzésbe olvasztani az az út, amelyen a másolt fájlok és a klónozott kulcsok átcsúsznak.

Három állítás, amelyet eggyé olvasztanak

A leltári rekord leírja az eszközt és tulajdonosát. A regisztráció megfelelő hitelesítő adatot kapcsol ehhez a rekordhoz. Csatlakozáskor a VPN ellenőrzi azt a bizonyítékot, amelyet a beállított módszere megkövetel. A regisztrációs űrlapba beírt sorozatszám nem kaphatja meg automatikusan az adott eszköz felhatalmazását, mert az űrlap csak azt bizonyítja, hogy valaki ismeri a sorozatszámot. Válassza szét a három lépést, és mindegyik önállóan tesztelhető.

A jelölőfájl egy szempontból rosszabb a sorozatszámnál: másolása triviális, és minden másolat egyformán meggyőzőnek tűnik.

Nézze meg, mit mutat be valójában az eszköz

Nézze meg azt a hitelesítő adatot, amelyet az ügyfél ténylegesen tárol, mielőtt feltételezné, hogy eszközspecific.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

A lista megmutatja, mely gépi tanúsítványok léteznek, és hogy jelen van-e titkos kulcs, ami a nyilvános fájl és a használható hitelesítő adat közötti különbség. A tárhely kiírása hozzáadja a szolgáltató nevét, és a szoftverszolgáltató szemben a platform kriptoszolgáltatóval az első nyom arra, hol él a kulcs. A titkos kulcsa nélküli tanúsítvány semmit nem hitelesít, míg egy másik gépre exportált titkos kulcs hordozhatóvá teszi a hitelesítő adatot, bármit is mond a tárgya. A megjelenített név helyett az ujjlenyomatot és a szolgáltatót rögzítse.

A hardveres védelemhez bizonyíték kell

A tanúsítvány nyilvános információ, ezért a lényeges kérdés az, hol él a titkos kulcs, és hogy ezt a védelmet igazolták-e. A TPM-kulcs igazolása olyan kérelmezőt ír le, aki tanúsító hatóságnak bizonyítja, hogy egy kulcsot megbízható TPM véd, ami erősebb, mint hardverszolgáltatót megnevezni egy kérelemben. Ez egyben saját bizalmi feltevésekkel bíró architektúra, nem valami, amit a VPN-ügyfél alapértelmezés szerint bekapcsol. Erősítse meg, mit fogad el a kibocsátó, és mit kényszerít ki az átjáró a keletkező hitelesítő adattal kapcsolatban, mert a tárolás, az igazolás és a beengedési szabályzat három összetevő.

A hardverrel támogatott kulcs még mindig nem mond semmit a javítási szintről, a jelenlegi hozzárendelésről vagy a munkamenet használatáról. Ezekhez saját ellenőrzések kellenek.

Tegye konkréttá a cserét és az eltávolítást

Tervezze meg, mi történik, ha egy eszköz elveszik, megjavítják, újra hozzárendelik vagy kicserélik. Az alaplap cseréje vagy a törölt kulcstár rendszerint támogatott újraregisztrációt igényel, nem pedig régi titkok másolását az eredeti gép utánzására. Rögzítse együtt az eszközt, a hitelesítő adat azonosítóját, a tulajdonost, a regisztrációs döntést és a hozzáférési szerepet, hogy a következő adminisztrátor lássa, mi mihez tartozik. Távolítsa el azt a felhatalmazást, amelyet az átjáró ténylegesen elfogad, mert a leltári állapot megváltoztatása semmit nem bizonyít egy meglévő hitelesítő adatról vagy munkamenetről.

Ezután tesztelje a határt: egy jóváhagyott eszköz csatlakozik, egy másolt címke önmagában nem, és egy kivont identitás működése megszűnik. Az approved nevű fájl címke marad, amíg egy megbízható folyamat értelmet nem ad neki.