デバイスタグは VPN 資格情報ではない：分けるべき三つの主張

ホスト名、シリアル番号、隠しマーカーファイルはノート PC にラベルを付ける助けになりますが、そのどれもが、それを提示するノート PC が承認済みの端末であることを証明するわけではありません。受け入れは三つの別々の主張に支えられています。資産が組織の記録したものであること、クライアントがそれに対して発行された資格情報を持っていること、その資格情報がポリシーの要求どおりに保護されていることです。これらを一つの検査にまとめてしまうと、コピーしたファイルや複製した鍵がすり抜けます。

一つにまとめられてしまう三つの主張

棚卸しの記録は資産とその所有者を記述します。登録は適切な資格情報をその記録に結び付けます。接続時には、VPN が設定された方式の要求する証明を検証します。登録フォームに入力されたシリアル番号が、その端末の承認を自動的に得るべきではありません。フォームが証明するのは、誰かがシリアル番号を知っていることだけだからです。三つの段階を分ければ、それぞれを単独で検査できます。

マーカーファイルは一つの点でシリアル番号より悪いものです。コピーはたやすく、どの複製も同じくらい説得力を持って見えます。

端末が実際に何を提示するかを見る

端末固有だと決めつける前に、クライアントが実際に保存している資格情報を見てください。

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

一覧は、どのマシン証明書が存在し、秘密鍵が伴っているかどうかを示します。これが公開ファイルと使える資格情報の違いです。ストアのダンプはプロバイダー名を加え、ソフトウェアプロバイダーかプラットフォームの暗号プロバイダーかは、鍵がどこに住むかの最初の手がかりになります。秘密鍵を伴わない証明書は何も認証しません。一方、別のマシンへエクスポートされた秘密鍵は、そのサブジェクトが何と言おうと資格情報を持ち運べるものにします。表示名ではなく拇印とプロバイダーを記録してください。

ハードウェア保護には証拠が要る

証明書は公開情報なので、意味のある問いは秘密鍵がどこに住み、その保護が証明されたかどうかです。TPM 鍵の証明は、要求者が認証局に対して、鍵が信頼された TPM に保護されていることを示すもので、要求の中でハードウェアプロバイダーを名指しするより強い根拠になります。これは独自の信頼の前提を持つアーキテクチャでもあり、VPN クライアントが既定で有効にするものではありません。発行者が何を受け入れ、ゲートウェイが出来上がった資格情報について何を強制するかを確認してください。保存、証明、受け入れポリシーは三つの部品です。

ハードウェアに支えられた鍵でも、パッチの水準、現在の割り当て、セッションの使われ方については何も言えません。それらには独自の統制が要ります。

交換と削除を具体的にする

端末を紛失し、修理し、再割り当てし、交換したときに何が起きるかを計画してください。マザーボードの交換や消去された鍵ストアは、通常、元のマシンを模倣して古い秘密をコピーするのではなく、支援された再登録を必要とします。資産、資格情報の識別子、所有者、登録の判断、アクセスの役割をまとめて記録し、次の管理者が何が何に属するかを見られるようにします。ゲートウェイが実際に受け入れる承認を削除してください。棚卸しの状態を変えても、既存の資格情報やセッションについては何も証明できないからです。

次に境界を試します。承認された端末は接続し、コピーしたラベルだけでは接続せず、退役した身元は機能を停止します。approved という名前のファイルは、信頼できる手続きが意味を与えるまでラベルのままです。