기기 태그는 VPN 자격 증명이 아닙니다: 분리해야 할 세 가지 주장

호스트 이름, 일련번호, 숨은 표식 파일은 노트북에 라벨을 붙이는 데 도움이 되지만, 그중 어느 것도 그것을 제시하는 노트북이 승인된 기기임을 증명하지 않습니다. 입장은 세 가지 별개의 주장에 기대고 있습니다. 자산이 조직이 기록한 그것이라는 것, 클라이언트가 그 자산을 위해 발급된 자격 증명을 보유한다는 것, 그리고 그 자격 증명이 정책이 요구하는 대로 보호된다는 것입니다. 이들을 하나의 검사로 합치면 복사한 파일과 복제한 키가 빠져나갑니다.

하나로 합쳐지는 세 가지 주장

인벤토리 기록은 자산과 그 소유자를 설명합니다. 등록은 적절한 자격 증명을 그 기록에 묶습니다. 연결할 때 VPN은 설정된 방식이 요구하는 증거를 검증합니다. 등록 양식에 입력한 일련번호가 그 기기의 권한을 자동으로 받아서는 안 됩니다. 양식은 누군가 일련번호를 안다는 것만 증명하기 때문입니다. 세 단계를 분리하면 각각을 따로 시험할 수 있습니다.

표식 파일은 한 가지 점에서 일련번호보다 나쁩니다. 복사가 사소하고, 모든 사본이 똑같이 그럴듯해 보입니다.

기기가 실제로 무엇을 제시하는지 보십시오

자격 증명이 기기 고유하다고 가정하기 전에 클라이언트가 실제로 저장하는 자격 증명을 보십시오.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

목록은 어떤 컴퓨터 인증서가 있고 개인 키가 있는지를 보여 주며, 이것이 공개 파일과 쓸 수 있는 자격 증명의 차이입니다. 저장소 덤프는 공급자 이름을 더하며, 소프트웨어 공급자인지 플랫폼 암호 공급자인지는 키가 어디에 사는지에 대한 첫 단서입니다. 개인 키가 없는 인증서는 아무것도 인증하지 못합니다. 반면 다른 컴퓨터로 내보낸 개인 키는 그 주체가 무엇이라 말하든 자격 증명을 옮길 수 있게 만듭니다. 표시 이름이 아니라 지문과 공급자를 기록하십시오.

하드웨어 보호에는 증거가 필요합니다

인증서는 공개 정보이므로 의미 있는 질문은 개인 키가 어디에 사는지, 그 보호가 증명되었는지입니다. TPM 키 증명은 요청자가 인증 기관에 키가 신뢰할 수 있는 TPM으로 보호된다는 것을 증명하는 것이며, 요청에서 하드웨어 공급자를 이름으로 부르는 것보다 강합니다. 이것은 또한 나름의 신뢰 가정을 가진 구조이며, VPN 클라이언트가 기본으로 켜는 것이 아닙니다. 발급자가 무엇을 받아들이고 게이트웨이가 결과 자격 증명에 대해 무엇을 강제하는지 확인하십시오. 저장, 증명, 입장 정책은 세 가지 구성 요소입니다.

하드웨어 기반 키도 패치 수준, 현재 할당, 세션 사용 방식에 대해서는 아무것도 말하지 않습니다. 그것들에는 자체 통제가 필요합니다.

교체와 제거를 구체적으로 만드십시오

기기를 잃어버리거나 수리하거나 재할당하거나 교체할 때 무슨 일이 일어나는지 계획하십시오. 메인보드 교체나 지워진 키 저장소는 보통 원래 기기를 흉내 내어 옛 비밀을 복사하는 것이 아니라 지원되는 재등록을 요구합니다. 자산, 자격 증명 식별자, 소유자, 등록 결정, 접근 역할을 함께 기록하여 다음 관리자가 무엇이 무엇에 속하는지 보게 하십시오. 게이트웨이가 실제로 받아들이는 권한을 제거하십시오. 인벤토리 상태를 바꾸는 것은 기존 자격 증명이나 세션에 대해 아무것도 증명하지 못합니다.

그다음 경계를 시험하십시오. 승인된 기기는 연결되고, 복사한 라벨만으로는 연결되지 않으며, 은퇴한 신원은 작동을 멈춥니다. approved라는 이름의 파일은 신뢰할 수 있는 절차가 의미를 부여할 때까지 라벨로 남습니다.