Le etichette dei dispositivi non sono credenziali VPN: tre affermazioni da separare

I nomi host, i numeri di serie e i file marcatore nascosti aiutano a etichettare un portatile, e nessuno di essi dimostra che il portatile che ne presenta uno sia il dispositivo approvato. L'ammissione poggia su tre affermazioni separate: il bene è quello che l'organizzazione ha registrato, il client possiede la credenziale emessa per esso, e quella credenziale è protetta come richiede la politica. Fonderle in un'unica verifica è il modo in cui file copiati e chiavi clonate passano.

Tre affermazioni fuse in una

Il registro di inventario descrive il bene e il suo proprietario. La registrazione lega una credenziale adeguata a quel registro. Al momento della connessione, la VPN verifica la prova richiesta dal metodo configurato. Un numero di serie digitato in un modulo di registrazione non dovrebbe ricevere automaticamente l'autorizzazione di quel dispositivo, perché il modulo dimostra solo che qualcuno conosce il numero di serie. Separate i tre passaggi e ciascuno può essere testato da solo.

Un file marcatore è peggiore di un numero di serie sotto un aspetto: copiarlo è banale, e ogni copia sembra ugualmente convincente.

Guardate cosa presenta davvero il dispositivo

Guardate la credenziale che il client memorizza davvero prima di supporre che sia specifica del dispositivo.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

L'elenco mostra quali certificati macchina esistono e se è presente una chiave privata, che è la differenza tra un file pubblico e una credenziale utilizzabile. Il dump dell'archivio aggiunge il nome del fornitore, e un fornitore software rispetto a un fornitore crittografico di piattaforma è il primo indizio su dove vive la chiave. Un certificato senza la sua chiave privata non autentica nulla, mentre una chiave privata esportata su un'altra macchina rende la credenziale trasferibile qualunque cosa dica il suo soggetto. Annotate l'impronta e il fornitore invece del nome visualizzato.

La protezione hardware richiede prove

Un certificato è informazione pubblica, quindi la domanda significativa è dove vive la chiave privata e se quella protezione è stata attestata. L'attestazione della chiave TPM descrive un richiedente che dimostra a un'autorità di certificazione che una chiave è protetta da un TPM fidato, il che è più forte che nominare un fornitore hardware in una richiesta. È anche un'architettura con i propri presupposti di fiducia, non qualcosa che un client VPN abilita per impostazione predefinita. Confermate cosa accetta l'emittente e cosa impone il gateway sulla credenziale risultante, perché archiviazione, attestazione e politica di ammissione sono tre componenti.

Una chiave supportata dall'hardware non dice ancora nulla sul livello di patch, sull'assegnazione attuale o su come viene usata la sessione. Servono controlli propri.

Rendete concreti la sostituzione e la rimozione

Pianificate cosa succede quando un dispositivo viene perso, riparato, riassegnato o sostituito. Un cambio di scheda madre o un archivio chiavi cancellato di solito richiede una nuova registrazione supportata invece di copiare vecchi segreti per imitare la macchina originale. Registrate insieme il bene, l'identificatore della credenziale, il proprietario, la decisione di registrazione e il ruolo di accesso, così l'amministratore successivo vede cosa appartiene a cosa. Rimuovete l'autorizzazione che il gateway accetta davvero, perché cambiare uno stato di inventario non dimostra nulla su una credenziale o una sessione esistenti.

Poi provate il confine: un dispositivo approvato si connette, un'etichetta copiata da sola no, e un'identità ritirata smette di funzionare. Un file chiamato approved resta un'etichetta finché un processo affidabile non gli dà significato.