PIV-innskráning mistekst í Windows með EAP-TLS? Athugaðu undirritunarferilinn

Sýndu skírteini PIV-korts í hverjum Windows-glugga og VPN-innskráning getur samt mistekist, því sýnileiki og nothæfi eru ólíkir eiginleikar. Skírteinið er opinbert hlutverk; innskráningin krefst aðgerðar með einkalykli sem kortið framkvæmir samkvæmt eigin aðgangsreglum. Milli þessara tveggja staðreynda liggja fjögur stig sem mistakast á fjóra ólíka vegu: val sniðs, val skírteinis, staðbundin undirritun og vottun á þjónshlið. Að fara í gegnum þau í réttri röð breytir almennri handabandsvillu í ákveðna spurningu fyrir þann sem á næsta hlutann.

Byrjaðu á sniðinu og EAP-aðferðinni

Opnaðu eiginleika tengingarinnar og lestu hvaða EAP-aðferð sniðið notar í raun, lestu síðan hvaða skírteini aðferðin er stillt til að velja. Margar uppsetningar hafa bæði ytra skírteinisbyggt snið og innra snið, og skírteini sem stillt er á tengistigi er ekki sjálfkrafa það sem kynnt er inni í EAP-TLS. Ef sniðið velur skírteini eftir útgefanda eða eftir viðfangsefnasíu velur sú sía úr því sem Windows sér í viðkomandi geymslu, ekki úr því sem kortið hefur fyrir tilviljun. Sía sem passar við ekkert fellur aftur í kvaðningu eða hljóðláta mistöku eftir stillingum sniðsins, þess vegna er þess virði að skrá valið fingrafar fyrir hverja breytingu.

Staðfestu líka hvort tengingin keyrir sem innskráður notandi eða sem vélin. Sú eina staðreynd ræður því hvaða skírteinisgeymslur eru innan sviðs og hvaða öryggissamhengi framkvæmir undirritunina.

Staðfestu hvaða skírteini var valið

Berðu saman fingrafarið sem Windows valdi við kröfuna: notkun fyrir auðkenningu biðlara, keðju sem endar í treystum rót, auðkenni sem stefna auðkenningarþjónsins varpar og gildistíma sem nær yfir raunverulega stund tilraunarinnar. Þetta eru aðskildar athuganir og sú síðasta grípur fleiri óvart en fólk á von á, sérstaklega með skírteinum sem gefin eru út á rúllandi grundvelli og skyndiminnisgeymdum sniðum sem enn benda á val gærdagsins.

Samhengi notanda og vélar er hinn helmingurinn af athuguninni. Skírteini í einkageymslu notandans er ósýnilegt þjónustu sem keyrir sem vélin, og skírteini vélar er ekki kynnt með EAP-skiptum í notendaham nema sniðið segi svo. Að flytja skírteini inn aftur í ranga geymslu framleiðir sýnilegt skírteini og ósýnilegt innskráningarskírteini. Lestu geymsluslóðina í sniðinu, ekki þá sem er í glugganum sem opnaðist fyrir tilviljun.

Prófaðu lykilaðgerðina án þess að giska á PIN

Þegar valinu er lokið er spurningin hvort kortið framkvæmir undirritunina. Windows þarf studdan kortaveitanda eða minidriver til að komast að einkalyklinum, og tækið beitir eigin PIN- og viðverureglum á aðgerðina. Kort sem er stillt til að krefjast snertingar fyrir hverja undirritun hegðar sér öðruvísi en það sem skyndiminnisgeymir staðfestingu fyrir setu, og hvort tveggja eru lögmætar stillingar sem breyta því hvenær kvaðning birtist. Sá munur útskýrir innskráningu sem tekst við nýja innsetningu og mistekst eftir endurupptöku, án þess að nokkurt skírteini sé rangt.

certutil.exe -scinfo
certutil.exe -store -user My
Get-WinEvent -LogName Application -MaxEvents 40 | Where-Object ProviderName -like '*Ras*'

Fyrsta skipunin tekur lista yfir kortið og greinir frá stöðu lesara og veitanda, sem er skjalfest í leiðbeiningum Microsoft um aflúsun snjallkorta. Önnur skipunin listar hvað notendasamhengið sér í raun. Hvorki sannar árangursríka auðkenningu; bæði þrengja hvar það stöðvaðist.

Giskaðu ekki á PIN. Kort þvinga endurtekningarmörk og nokkrar bjartsýnar tilraunir breyta heimildarvanda í læst innskráningarskírteini sem þarf stjórnunarlega endurheimt. Ef staðbundin undirritun mistekst skaltu skrá stöðu veitanda og stöðu korts í stað þess að prófa afbrigði. Endurtaktu tilraunina einu sinni með sama sniði, sama skírteini og þekktri góðri lesaraslóð og berðu síðan saman skráningarnar tvær; að breyta nokkrum breytum í einu gefur sögu en ekki niðurstöðu.

Lestu báðar hliðar handabandsins

Lokið undirritun er ekki innganga enn. Auðkenningarþjónninn verður að samþykkja keðjuna, athuga afturköllun, varpa auðkenninu samkvæmt gildandi reglum sínum og heimila beiðnina; biðlarinn verður síðan að votta skírteini þjónsins eins og sniðið krefst. TLS-viðvörun sem þjónninn býr til lítur í annál biðlarans eins út og sú sem er búin til staðbundið, þess vegna skiptir hliðin sem sendir hana meira máli en texti viðvörunarinnar.

Safnaðu Windows-atburðum og atburðum á þjónshlið með samræmdum tímatöppum og greindu síðan hvor hliðin olli fyrstu mistökunni. RFC 5216 lýsir skrefi eignarsönnunar í EAP-TLS, og almenn handabandsviðvörun nefnir ekki af sjálfu sér staðbundna lykilorsök. Það er samanburður tímatappanna sem breytir tveimur annálum í röð.

Haltu mörkunum skýrum í skýrslunni

Skrifaðu skýrsluna sem fjögur stig með einum úrskurði hvert: hvaða snið og samhengi keyrði, hvaða skírteini Windows valdi, hvort kortið undirritaði og hvað þjónninn ákvað. Uppbyggingin gerir næsta skref augljóst og kemur í veg fyrir algenga viðgerð að slökkva á vottun til að komast framhjá stigi sem enginn greindi.

Hugbúnaðarskírteini sem tímabundin samanburður er lögmætt próf stjórnanda, en það breytir líkani skírteinis og öryggistryggingar, svo það á heima í samþykktri breytingu en ekki í hljóðlátri vinnufyrirkomulagi í framleiðslu. Sama agi á við PIN-tilraunir og endurútgáfu skírteina áður en mistakandi stig er þekkt. Skiptikort sem mistekst á sama hátt er dýrar sönnur á að vandamálið hafi aldrei verið á kortinu.