მოწყობილობის ტეგები VPN-ის სერტიფიკატები არ არის: სამი მტკიცება, რომელიც უნდა გაიყოს

ჰოსტის სახელები, სერიული ნომრები და დამალული მარკერის ფაილები ეხმარება ლეპტოპის მონიშვნას და არც ერთი მათგანი არ ამტკიცებს, რომ მათგან ერთის წარმდგენი ლეპტოპი დამტკიცებული მოწყობილობაა. დაშვება ეყრდნობა სამ ცალკე მტკიცებას: აქტივი არის ის, რაც ორგანიზაციამ ჩაწერა, კლიენტს აქვს მისთვის გაცემული სერტიფიკატი და ეს სერტიფიკატი დაცულია ისე, როგორც პოლიტიკა მოითხოვს. მათი ერთ შემოწმებად შერწყმა სწორედ ის გზაა, რომლითაც კოპირებული ფაილები და კლონირებული გასაღებები გადის.

სამი მტკიცება, რომლებიც ერთად იწურება

ინვენტარის ჩანაწერი აღწერს აქტივს და მის მფლობელს. რეგისტრაცია შესაბამის სერტიფიკატს ამ ჩანაწერს უკავშირებს. დაკავშირებისას VPN ამოწმებს იმ მტკიცებას, რომელსაც მისი კონფიგურირებული მეთოდი მოითხოვს. რეგისტრაციის ფორმაში აკრეფილი სერიული ნომერი ავტომატურად არ უნდა იღებდეს ამ მოწყობილობის ავტორიზაციას, რადგან ფორმა მხოლოდ იმას ამტკიცებს, რომ ვინმემ სერიული ნომერი იცის. გაყავით სამი ნაბიჯი და თითოეული დამოუკიდებლად შემოწმდება.

მარკერის ფაილი ერთი მხრივ უარესია სერიულ ნომერზე: მისი კოპირება ტრივიალურია და ყველა ასლი ერთნაირად დამაჯერებლად გამოიყურება.

ნახეთ, რას წარმოადგენს მოწყობილობა სინამდვილეში

შეხედეთ სერტიფიკატს, რომელსაც კლიენტი რეალურად ინახავს, სანამ ჩათვლით, რომ ის მოწყობილობისთვის სპეციფიკურია.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

სია გვიჩვენებს, რომელი მანქანის სერტიფიკატები არსებობს და არის თუ არა კერძო გასაღები, რაც განსხვავებაა საჯარო ფაილსა და გამოსაყენებელ სერტიფიკატს შორის. საცავის გამონაბეჭდი ამატებს მომწოდებლის სახელს, და პროგრამული მომწოდებელი პლატფორმის კრიპტო მომწოდებლის წინააღმდეგ პირველი მინიშნებაა იმაზე, სად ცხოვრობს გასაღები. სერტიფიკატი თავისი კერძო გასაღების გარეშე არაფერს ამოწმებს, მაშინ როცა სხვა მანქანაზე ექსპორტირებული კერძო გასაღები სერტიფიკატს გადატანადს ხდის რაც არ უნდა თქვას მისმა სუბიექტმა. ჩაწერეთ ანაბეჭდი და მომწოდებელი და არა ჩვენების სახელი.

ტექნიკურ დაცვას მტკიცებულება სჭირდება

სერტიფიკატი საჯარო ინფორმაციაა, ამიტომ აზრიანი კითხვაა, სად ცხოვრობს კერძო გასაღები და დადასტურდა თუ არა ეს დაცვა. TPM გასაღების დადასტურება აღწერს მომთხოვნს, რომელიც სერტიფიკატის ორგანოს უმტკიცებს, რომ გასაღები სანდო TPM-ითაა დაცული, რაც უფრო ძლიერია, ვიდრე მოთხოვნაში ტექნიკური მომწოდებლის დასახელება. ეს ასევე არქიტექტურაა საკუთარი ნდობის დაშვებებით, და არა ის, რასაც VPN კლიენტი ნაგულისხმევად რთავს. დაადასტურეთ, რას იღებს გამომცემი და რას ავალდებულებს კარიბჭე მიღებულ სერტიფიკატზე, რადგან შენახვა, დადასტურება და დაშვების პოლიტიკა სამი კომპონენტია.

ტექნიკით მხარდაჭერილი გასაღები მაინც არაფერს ამბობს განახლებების დონეზე, მიმდინარე მინიჭებაზე ან იმაზე, როგორ გამოიყენება სესია. მათ საკუთარი კონტროლი სჭირდებათ.

გახადეთ შეცვლა და წაშლა კონკრეტული

დაგეგმეთ, რა ხდება, როცა მოწყობილობა იკარგება, შეკეთდება, გადანაწილდება ან შეიცვლება. დედაპლატის შეცვლა ან წაშლილი გასაღების საცავი ჩვეულებრივ მოითხოვს მხარდაჭერილ ხელახალ რეგისტრაციას და არა ძველი საიდუმლოებების კოპირებას ორიგინალი მანქანის მიბაძვისთვის. ჩაწერეთ აქტივი, სერტიფიკატის იდენტიფიკატორი, მფლობელი, რეგისტრაციის გადაწყვეტილება და წვდომის როლი ერთად, რათა შემდეგმა ადმინისტრატორმა დაინახოს, რა რას ეკუთვნის. წაშალეთ ავტორიზაცია, რომელსაც კარიბჭე რეალურად იღებს, რადგან ინვენტარის სტატუსის შეცვლა არაფერს ამტკიცებს არსებულ სერტიფიკატზე ან სესიაზე.

შემდეგ გამოსცადეთ საზღვარი: დამტკიცებული მოწყობილობა უერთდება, მხოლოდ კოპირებული ეტიკეტი არა, და გაუქმებული იდენტობა მუშაობას წყვეტს. approved სახელის ფაილი რჩება ეტიკეტად, სანამ სანდო პროცესი მას მნიშვნელობას მისცემს.