Սարքի պիտակները VPN հավատարմագրեր չեն՝ առանձնացնելու երեք պնդում
Գույքագրման պիտակը, մասնավոր բանալին և սարքաշարային պաշտպանությունը երեք տարբեր երաշխիքներ են։ Որոշեք, թե որն է ստուգում դարպասը, ապա պլանավորեք հեռացումը։
Հոսթների անունները, սերիական համարները և թաքնված նշիչ ֆայլերը օգնում են պիտակավորել նոթբուքը, և դրանցից ոչ մեկը չի ապացուցում, որ դրանցից մեկը ներկայացնող նոթբուքը հաստատված սարքն է։ Ընդունումը հենվում է երեք առանձին պնդումների վրա՝ ակտիվը այն է, ինչ գրանցել է կազմակերպությունը, հաճախորդը տիրապետում է դրա համար տրված հավատարմագրին, և այդ հավատարմագիրը պաշտպանված է այնպես, ինչպես պահանջում է քաղաքականությունը։ Դրանք մեկ ստուգման մեջ միավորելը հենց այն ճանապարհն է, որով պատճենված ֆայլերն ու կլոնավորված բանալիները սահում են։
Երեք պնդում, որոնք միավորվում են մեկի մեջ
Գույքագրման գրառումը նկարագրում է ակտիվը և դրա սեփականատիրոջը։ Գրանցումը համապատասխան հավատարմագիր է կապում այդ գրառմանը։ Միացման պահին VPN-ը ստուգում է այն ապացույցը, որը պահանջում է իր կարգավորված մեթոդը։ Գրանցման ձևաթղթում մուտքագրված սերիական համարը չպետք է ինքնաբերաբար ստանա այդ սարքի լիազորումը, քանի որ ձևաթուղթը միայն ապացուցում է, որ ինչ-որ մեկը գիտի սերիական համարը։ Առանձնացրեք երեք քայլերը, և յուրաքանչյուրը կարելի է ստուգել առանձին։
Նշիչ ֆայլը մեկ առումով ավելի վատ է, քան սերիական համարը՝ այն պատճենելը չնչին է, և յուրաքանչյուր պատճեն նույնքան համոզիչ է թվում։
Տեսեք, թե ինչ է իրականում ներկայացնում սարքը
Նայեք այն հավատարմագրին, որը հաճախորդը իրականում պահում է, նախքան ենթադրելը, որ այն սարքին բնորոշ է։
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>Ցանկը ցույց է տալիս, թե որ մեքենայի վկայագրերն են գոյություն ունեն, և արդյոք առկա է մասնավոր բանալի, ինչը հանրային ֆայլի և օգտագործելի հավատարմագրի տարբերությունն է։ Պահոցի արտածումը ավելացնում է մատակարարի անունը, և ծրագրային մատակարարը՝ ընդդեմ հարթակի գաղտնագրային մատակարարի, առաջին ակնարկն է այն մասին, թե որտեղ է ապրում բանալին։ Վկայագիրը առանց իր մասնավոր բանալու ոչինչ չի վավերացնում, մինչդեռ այլ մեքենա արտահանված մասնավոր բանալին հավատարմագիրը դարձնում է տեղափոխելի ինչ էլ ասի դրա սուբյեկտը։ Գրանցեք մատնահետքը և մատակարարը, այլ ոչ ցուցադրվող անունը։
Սարքաշարային պաշտպանությունը ապացույց է պահանջում
Վկայագիրը հանրային տեղեկություն է, ուստի իմաստալից հարցն այն է, թե որտեղ է ապրում մասնավոր բանալին և արդյոք այդ պաշտպանությունը հաստատվել է։ TPM բանալու հաստատումը նկարագրում է հայտատուի, որը վկայագրող մարմնին ապացուցում է, որ բանալին պաշտպանված է վստահելի TPM-ով, ինչը ավելի ուժեղ է, քան հայտում սարքաշարային մատակարար նշելը։ Սա նաև ճարտարապետություն է իր սեփական վստահության ենթադրություններով, ոչ թե մի բան, որ VPN հաճախորդը միացնում է լռելյայն։ Հաստատեք, թե ինչ է ընդունում թողարկողը և ինչ է պարտադրում դարպասը ստացված հավատարմագրի վերաբերյալ, քանի որ պահեստավորումը, հաստատումը և ընդունման քաղաքականությունը երեք բաղադրիչ են։
Սարքաշարով ապահովված բանալին դեռ ոչինչ չի ասում կարկատանների մակարդակի, ընթացիկ նշանակման կամ նստաշրջանի օգտագործման մասին։ Դրանց համար սեփական վերահսկիչներ են պետք։
Դարձրեք փոխարինումը և հեռացումը կոնկրետ
Պլանավորեք, թե ինչ է տեղի ունենում, երբ սարքը կորչում է, վերանորոգվում, վերանշանակվում կամ փոխարինվում։ Մայրական սալիկի փոփոխությունը կամ ջնջված բանալու պահոցը սովորաբար պահանջում է աջակցվող վերագրանցում, այլ ոչ հին գաղտնիքների պատճենում՝ բնօրինակ մեքենան ընդօրինակելու համար։ Գրանցեք ակտիվը, հավատարմագրի նույնացուցիչը, սեփականատերը, գրանցման որոշումը և մուտքի դերը միասին, որպեսզի հաջորդ ադմինիստրատորը տեսնի, թե ինչն ինչին է պատկանում։ Հեռացրեք այն լիազորումը, որը դարպասն իրականում ընդունում է, քանի որ գույքագրման կարգավիճակը փոխելը ոչինչ չի ապացուցում գոյություն ունեցող հավատարմագրի կամ նստաշրջանի մասին։
Այնուհետև փորձարկեք սահմանը՝ հաստատված սարքը միանում է, միայն պատճենված պիտակը՝ ոչ, և հանված ինքնությունը դադարում է աշխատել։ approved անունով ֆայլը մնում է պիտակ, քանի դեռ վստահելի գործընթացը իմաստ չի տալիս դրան։