PIV մուտքը Windows-ում EAP-TLS-ով ձախողվում է՝ ստուգեք ստորագրության ուղին

Ցուցադրեք PIV քարտի վկայականը Windows-ի յուրաքանչյուր երկխոսության մեջ, և VPN մուտքը դեռ կարող է ձախողվել, քանի որ տեսանելիությունը և օգտագործելիությունը տարբեր հատկություններ են։ Վկայականը հանրային օբյեկտ է՝ մուտքի համար անհրաժեշտ է մասնավոր բանալիով գործողություն, որը կատարում է քարտը իր սեփական մուտքի կանոններով։ Այս երկու փաստերի միջև կան չորս փուլեր, որոնք ձախողվում են չորս տարբեր ձևերով՝ պրոֆիլի ընտրություն, վկայականի ընտրություն, տեղական ստորագրում և սպասարկողի կողմի ստուգում։ Դրանք հերթականությամբ անցնելը ընդհանուր ձեռքսեղմման սխալը վերածում է կոնկրետ հարցի այն մարդու համար, ով տիրապետում է հաջորդ մասին։

Սկսեք պրոֆիլից և EAP մեթոդից

Բացեք կապի հատկությունները և կարդացեք, թե պրոֆիլն իրականում որ EAP մեթոդն է օգտագործում, ապա կարդացեք, թե որ վկայականն ընտրելու համար է կարգավորված մեթոդը։ Շատ տեղաբաշխումներում կա և՛ վկայականի վրա հիմնված արտաքին մեթոդ, և՛ ներքին մեթոդ, և կապի մակարդակում կարգավորված վկայականը ինքնաբերաբար այն չէ, որը ներկայացվում է EAP-TLS-ի ներսում։ Եթե պրոֆիլը վկայականն ընտրում է թողարկողով կամ սուբյեկտի զտիչով, ապա այդ զտիչը ընտրում է այն ամենից, ինչ Windows-ը տեսնում է համապատասխան պահոցում, ոչ այն ամենից, ինչ քարտը պատահաբար պարունակում է։ Զտիչը, որը ոչ մի բանի չի համապատասխանում, կախված պրոֆիլի կարգավորումից վերադառնում է հուշման կամ լուռ ձախողման, այդ պատճառով արժե ընտրված մատնահետքը գրանցել ցանկացած փոփոխությունից առաջ։

Պարզեք նաև, թե կապը գործում է որպես մուտք գործած օգտատեր, թե որպես մեքենա։ Այս մեկ փաստը որոշում է, թե որ վկայականների պահոցներն են ընդգրկված և որը անվտանգության համատեքստն է կատարում ստորագրումը։

Հաստատեք, թե որ վկայականն է ընտրվել

Համեմատեք Windows-ի ընտրած մատնահետքը պահանջի հետ՝ օգտագործում հաճախորդի նույնականացման համար, վստահելի արմատում ավարտվող շղթա, ինքնություն, որը քարտագրում է նույնականացման սպասարկողի քաղաքականությունը, և վավերականության ժամկետ, որը ծածկում է փորձի իրական պահը։ Սրանք առանձին ստուգումներ են, և վերջինը ավելի շատ անակնկալ է բռնում, քան մարդիկ սպասում են, հատկապես շարունակաբար թողարկվող վկայականների և քեշավորված պրոֆիլների դեպքում, որոնք դեռ մատնանշում են երեկվա ընտրությանը։

Օգտատիրոջ և մեքենայի համատեքստը ստուգման մյուս կեսն է։ Օգտատիրոջ անձնական պահոցում գտնվող վկայականը անտեսանելի է որպես մեքենա գործող ծառայության համար, և մեքենայի վկայականը չի ներկայացվում օգտատիրոջ ռեժիմի EAP փոխանակման կողմից, եթե պրոֆիլը այլ բան չի ասում։ Վկայականը սխալ պահոց նորից ներմուծելը ստեղծում է տեսանելի վկայական և անտեսանելի մուտքի հավատարմագիր։ Կարդացեք պահոցի ուղին պրոֆիլում, ոչ թե պատահաբար բացված երկխոսության ուղին։

Փորձարկեք բանալու գործողությունը՝ առանց PIN-ը գուշակելու

Երբ ընտրությունը որոշված է, հարցն այն է՝ արդյոք քարտը կկատարի ստորագրումը։ Windows-ին անհրաժեշտ է աջակցվող քարտի մատակարար կամ մինի-դրայվեր մասնավոր բանալուն հասնելու համար, և սարքը կիրառում է իր սեփական PIN-ի և ներկայության կանոնները գործողության վրա։ Քարտը, որը կարգավորված է յուրաքանչյուր ստորագրման համար հպում պահանջել, վարվում է այլ կերպ, քան այն, որը քեշավորում է ստուգումը նստաշրջանի համար, և երկուսն էլ օրինական կարգավորումներ են, որոնք փոխում են, թե երբ է հայտնվում հուշումը։ Այդ տարբերությունը բացատրում է մուտքը, որը հաջողվում է թարմ տեղադրման դեպքում և ձախողվում է վերսկսելուց հետո, առանց որևէ վկայականի սխալ լինելու։

certutil.exe -scinfo
certutil.exe -store -user My
Get-WinEvent -LogName Application -MaxEvents 40 | Where-Object ProviderName -like '*Ras*'

Առաջին հրամանը գույքագրում է քարտը և հաղորդում ընթերցիչի ու մատակարարի վիճակը, ինչը փաստաթղթավորված է Microsoft-ի խելացի քարտերի վրիպազերծման ուղեցույցում։ Երկրորդը թվարկում է, թե օգտատիրոջ համատեքստն իրականում ինչ կարող է տեսնել։ Ոչ մեկը չի ապացուցում հաջող նույնականացում՝ երկուսն էլ նեղացնում են, թե որտեղ է այն կանգ առել։

Մի գուշակեք PIN-ը։ Քարտերը կիրառում են կրկնափորձերի սահմանափակումներ, և մի քանի լավատես փորձեր թույլտվության խնդիրը վերածում են արգելափակված հավատարմագիրի, որը պահանջում է վարչական վերականգնում։ Եթե տեղական ստորագրումը ձախողվում է, գրանցեք մատակարարի վիճակը և քարտի վիճակը՝ տարբերակներ փորձելու փոխարեն։ Կրկնեք փորձը մեկ անգամ նույն պրոֆիլով, նույն վկայականով և հայտնի լավ ընթերցիչի ուղիով, ապա համեմատեք երկու գրառումները՝ միանգամից մի քանի փոփոխական փոխելը տալիս է պատմություն, ոչ արդյունք։

Կարդացեք ձեռքսեղմման երկու կողմերը

Ավարտված ստորագրումը դեռ թույլտվություն չէ։ Նույնականացման սպասարկողը պետք է ընդունի շղթան, ստուգի չեղարկումը, քարտագրի ինքնությունը իր ընթացիկ կանոններով և լիազորի հարցումը՝ հաճախորդն իր հերթին պետք է ստուգի սպասարկողի վկայականը, ինչպես պահանջում է պրոֆիլը։ Սպասարկողի ստեղծած TLS ծանուցումը հաճախորդի մատյանում նույն տեսքն ունի, ինչ տեղական ստեղծվածը, այդ պատճառով այն արձակող կողմն ավելի կարևոր է, քան ծանուցման տեքստը։

Հավաքեք Windows-ի իրադարձությունները և սպասարկողի կողմի իրադարձությունները համադրված ժամանակադրոշմներով, ապա պարզեք, թե որ կողմն է ստեղծել առաջին ձախողումը։ RFC 5216-ը նկարագրում է տիրապետման ապացույցի քայլը EAP-TLS-ում, և ընդհանուր ձեռքսեղմման ծանուցումն ինքնին չի անվանում տեղական բանալու պատճառ։ Ժամանակադրոշմների համեմատությունն է, որ երկու մատյան վերածում է հաջորդականության։

Պահեք սահմանները ուղիղ զեկույցում

Գրեք զեկույցը որպես չորս փուլ՝ յուրաքանչյուրի համար մեկ դատողություն՝ որ պրոֆիլն ու համատեքստն են գործել, որ վկայականն է ընտրել Windows-ը, արդյոք քարտը ստորագրել է, և ինչ է որոշել սպասարկողը։ Այդ կառուցվածքը հաջորդ քայլը դարձնում է ակնհայտ և կանխում է սովորական վերանորոգումը՝ ստուգումն անջատելը՝ այն փուլն անցնելու համար, որը ոչ ոք չի բացահայտել։

Ծրագրային վկայականը որպես ժամանակավոր համեմատություն օրինական վարչական թեստ է, սակայն այն փոխում է հավատարմագրի և երաշխիքի մոդելը, ուստի տեղը հաստատված փոփոխության մեջ է, ոչ թե արտադրության լուռ շրջանցման։ Նույն կարգապահությունը վերաբերում է PIN փորձերին և հավատարմագրերի վերաթողարկմանը՝ մինչև ձախողվող փուլը հայտնի դառնալը։ Նույն կերպ ձախողվող փոխարինող քարտը թանկ ապացույց է, որ խնդիրը երբեք քարտի վրա չի եղել։