Windows-та EAP-TLS арқылы PIV кіруі сәтсіз бе? Қолтаңба жолын тексеріңіз

PIV картасының сертификатын әрбір Windows диалогында көрсетсеңіз де, VPN-ге кіру сәтсіз болуы мүмкін, өйткені көріну мен пайдалануға жарамдылық — бөлек қасиеттер. Сертификат — жария нысан; кіру үшін карта өзінің кіру ережелері бойынша орындайтын жеке кілтпен операция қажет. Осы екі фактінің арасында төрт түрлі жолмен сәтсіз болатын төрт кезең бар: профильді таңдау, сертификатты таңдау, жергілікті қолтаңба және сервер жағындағы тексеру. Оларды ретімен өткеру жалпы қол алысу қатесін келесі бөлімнің иесіне қойылатын нақты сұраққа айналдырады.

Профиль мен EAP әдісінен бастаңыз

Қосылым қасиеттерін ашып, профильдің шын мәнінде қай EAP әдісін қолданатынын оқыңыз, содан кейін әдіс қай сертификатты таңдауға конфигурацияланғанын оқыңыз. Көптеген енгізулерде сертификатқа негізделген сыртқы әдіс те, ішкі әдіс те болады, ал қосылым деңгейінде конфигурацияланған сертификат EAP-TLS ішінде ұсынылатын сертификат бола бермейді. Егер профиль сертификатты шығарушы немесе субъект сүзгісі бойынша таңдаса, сол сүзгі Windows тиісті қоймада көретін нәрседен таңдайды, картада кездейсоқ бар нәрседен емес. Ештеңеге сәйкес келмейтін сүзгі профиль конфигурациясына қарай сұрауға немесе үнсіз сәтсіздікке қайтады, сондықтан кез келген өзгеріске дейін таңдалған саусақ ізін жазып қою керек.

Сонымен қатар қосылымның жүйеге кірген пайдаланушы ретінде немесе машина ретінде жұмыс істейтінін анықтаңыз. Осы бір факті қай сертификат қоймалары қамтуда екенін және қай қауіпсіздік контекстінің қолтаңбаны орындайтынын шешеді.

Қай сертификат таңдалғанын растаңыз

Windows таңдаған саусақ ізін талаппен салыстырыңыз: клиентті аутентификациялау үшін қолдану, сенімді түбірде аяқталатын тізбек, аутентификация серверінің саясаты сәйкестендіретін идентитет және әрекеттің нақты сәтін қамтитын жарамдылық мерзімі. Бұлар бөлек тексерулер және соңғысы адамдар күткеннен көбірек тосын ұстайды, әсіресе айналмалы негізде берілетін сертификаттар мен әлі кешегі таңдауға нұсқайтын кэштелген профильдерде.

Пайдаланушы мен машина контексті тексерудің екінші жартысы. Пайдаланушының жеке қоймасындағы сертификат машина ретінде жұмыс істейтін қызметке көрінбейді, ал машина сертификатын пайдаланушы режиміндегі EAP алмасуы ұсынбайды, егер профиль өзгеше айтпаса. Сертификатты қате қоймаға қайта импорттау көрінетін сертификат пен көрінбейтін кіру деректерін тудырады. Профильдегі қойма жолын оқыңыз, кездейсоқ ашылған диалогтағыны емес.

PIN болжамай кілт операциясын тексеріңіз

Таңдау шешілген соң, сұрақ — карта қолтаңбаны орындай ма. Windows-қа жеке кілтке жету үшін қолдау көрсетілген карта провайдері немесе минидрайвер қажет, ал құрылғы операцияға өзінің PIN және қатысу ережелерін қолданады. Әр қолтаңба үшін түртуді талап ететін карта сессия үшін тексеруді кэштеуші картадан өзгеше әрекет етеді, және екеуі де сұрау қашан пайда болатынын өзгертетін заңды конфигурациялар. Бұл айырмашылық ешбір сертификат қате болмаса да, жаңадан салынғанда сәтті болып, жалғастырғаннан кейін сәтсіз болатын кіруді түсіндіреді.

certutil.exe -scinfo
certutil.exe -store -user My
Get-WinEvent -LogName Application -MaxEvents 40 | Where-Object ProviderName -like '*Ras*'

Бірінші пәрмен картаны түгендеп, оқығыш пен провайдер күйін хабарлайды, бұл Microsoft-тың смарт-карталарды жөндеу жөніндегі нұсқаулығында құжатталған. Екінші пәрмен пайдаланушы контексті шын мәнінде нені көре алатынын тізімдейді. Екеуі де сәтті аутентификацияны дәлелдемейді; екеуі де қай жерде тоқтағанын тарылтады.

PIN-ді болжамаңыз. Карталар қайталау шектеулерін қолданады, ал бірнеше оптимистік әрекет рұқсат мәселесін әкімшілік қалпына келтіруді қажет ететін блокталған кіру деректеріне айналдырады. Егер жергілікті қолтаңба сәтсіз болса, нұсқаларды сынаудың орнына провайдер күйі мен карта күйін жазып алыңыз. Әрекетті бір рет сол профильмен, сол сертификатпен және белгілі жақсы оқығыш жолымен қайталаңыз, содан кейін екі жазбаны салыстырыңыз; бірнеше айнымалыны бірден өзгерту нәтиже емес, әңгіме береді.

Қол алысудың екі жағын да оқыңыз

Аяқталған қолтаңба әлі рұқсат емес. Аутентификация сервері тізбекті қабылдауы, кері қайтарылуды тексеруі, идентитетті ағымдағы ережелері бойынша сәйкестендіруі және сұрауды рұқсат етуі тиіс; клиент өз кезегінде сервердің сертификатын профиль талап еткендей тексеруі керек. Сервер жасаған TLS ескертуі клиент журналында жергілікті жасалғанмен бірдей көрінеді, сондықтан оны шығарған жақ ескерту мәтінінен маңыздырақ.

Windows оқиғалары мен сервер жағындағы оқиғаларды тураланған уақыт белгілерімен жинаңыз, содан кейін бірінші сәтсіздікті қай жақ тудырғанын анықтаңыз. RFC 5216 EAP-TLS-те иеленуді дәлелдеу қадамын сипаттайды, ал жалпы қол алысу ескертуі өздігінен жергілікті кілтке қатысты себепті атамайды. Екі журналды реттілікке айналдыратын нәрсе — уақыт белгілерін салыстыру.

Есепте шекараларды түзу ұстаңыз

Есепті төрт кезең ретінде жазыңыз, әрқайсысына бір үкім: қай профиль мен контекст жұмыс істеді, Windows қай сертификатты таңдады, карта қол қойды ма және сервер не шешті. Бұл құрылым келесі қадамды айқын етеді және ешкім анықтамаған кезеңнен өту үшін тексеруді өшірудің кәдімгі жөндеуін болдырмайды.

Уақытша салыстыру ретінде бағдарламалық сертификат заңды әкімшілік тест, бірақ ол кіру деректері мен кепілдік моделін өзгертеді, сондықтан оның орны бекітілген өзгерісте, өндірістегі үнсіз айналып өтуде емес. Сол тәртіп PIN әрекеттеріне және сәтсіз кезең белгілі болмай тұрып кіру деректерін қайта беруге де қатысты. Дәл солай сәтсіз болатын ауыстыру картасы мәселенің ешқашан картада болмағанының қымбат дәлелі.