Tag perangkat bukan kredensial VPN: tiga klaim yang harus dipisahkan

Nama host, nomor seri, dan file penanda tersembunyi membantu memberi label pada laptop, dan tidak satu pun darinya membuktikan bahwa laptop yang menyajikan salah satunya adalah perangkat yang disetujui. Penerimaan bertumpu pada tiga klaim terpisah: aset adalah yang dicatat organisasi, klien memiliki kredensial yang diterbitkan untuknya, dan kredensial itu dilindungi sesuai kebijakan. Menggabungkannya menjadi satu pemeriksaan adalah cara file yang disalin dan kunci yang dikloning lolos.

Tiga klaim yang digabung menjadi satu

Catatan inventaris menjelaskan aset dan pemiliknya. Pendaftaran mengikat kredensial yang sesuai ke catatan itu. Saat koneksi, VPN memverifikasi bukti yang diminta metode terkonfigurasinya. Nomor seri yang diketik ke formulir pendaftaran tidak boleh otomatis menerima otorisasi perangkat itu, karena formulir hanya membuktikan bahwa seseorang mengetahui nomor seri. Pisahkan ketiga langkah dan masing-masing dapat diuji sendiri.

File penanda lebih buruk daripada nomor seri dalam satu hal: menyalinnya itu sepele, dan setiap salinan tampak sama meyakinkan.

Lihat apa yang benar-benar disajikan perangkat

Lihat kredensial yang benar-benar disimpan klien sebelum menganggapnya khusus perangkat.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Daftar tersebut menunjukkan sertifikat mesin mana yang ada dan apakah kunci privat tersedia, yang merupakan perbedaan antara file publik dan kredensial yang dapat dipakai. Buangan penyimpanan menambahkan nama penyedia, dan penyedia perangkat lunak versus penyedia kripto platform adalah petunjuk pertama tentang di mana kunci berada. Sertifikat tanpa kunci privatnya tidak mengautentikasi apa pun, sedangkan kunci privat yang diekspor ke mesin lain membuat kredensial dapat dipindahkan apa pun kata subjeknya. Catat sidik jari dan penyedia, bukan nama tampilan.

Perlindungan perangkat keras butuh bukti

Sertifikat adalah informasi publik, jadi pertanyaan bermaknanya adalah di mana kunci privat berada dan apakah perlindungan itu diatesti. Atestasi kunci TPM menggambarkan pemohon yang membuktikan kepada otoritas sertifikasi bahwa kunci dilindungi TPM tepercaya, yang lebih kuat daripada menyebut penyedia perangkat keras dalam permintaan. Ini juga arsitektur dengan asumsi kepercayaannya sendiri, bukan sesuatu yang klien VPN aktifkan secara bawaan. Konfirmasikan apa yang diterima penerbit dan apa yang diberlakukan gateway atas kredensial yang dihasilkan, karena penyimpanan, atestasi, dan kebijakan penerimaan adalah tiga komponen.

Kunci berbasis perangkat keras tetap tidak mengatakan apa pun tentang tingkat tambalan, penugasan saat ini, atau bagaimana sesi digunakan. Itu memerlukan kontrolnya sendiri.

Buat penggantian dan penghapusan konkret

Rencanakan apa yang terjadi ketika perangkat hilang, diperbaiki, dialihkan, atau diganti. Penggantian motherboard atau penyimpanan kunci yang terhapus biasanya memerlukan pendaftaran ulang yang didukung, bukan menyalin rahasia lama untuk meniru mesin asli. Catat aset, pengenal kredensial, pemilik, keputusan pendaftaran, dan peran akses bersama-sama, agar administrator berikutnya melihat apa yang menjadi milik apa. Hapus otorisasi yang benar-benar diterima gateway, karena mengubah status inventaris tidak membuktikan apa pun tentang kredensial atau sesi yang ada.

Lalu uji batasnya: perangkat yang disetujui terhubung, label yang disalin saja tidak, dan identitas yang sudah dipensiunkan berhenti berfungsi. File bernama approved tetap sebuah label sampai proses yang tepercaya memberinya makna.