Apparat-Etiketten sinn net VPN-Identitéitsdaten: dräi Behaaptungen ze trennen

Hostnimm, Serienummeren a verstoppte Markéierungsdateien hëllefen engem Laptop ze etikettéieren, an keen dovun beweist datt de Laptop, deen een dovu presentéiert, den approuvéierten Apparat ass. D'Zouloossung stäipt op dräi getrennten Behaaptungen: den Actif ass deen, deen d'Organisatioun registréiert huet, de Client huet den Identitéitsdokument deen dofir ausgestallt gouf, an deen Dokument ass geschützt wéi d'Politik et verlaangt. Se an eng eenzeg Kontroll zesummenzeféieren ass de Wee wéi kopéiert Dateien a geklonte Schlësselen duerchrutschen.

Dräi Behaaptungen déi an eng eenzeg verschmëlzt ginn

Den Inventarrekord beschreift den Actif an säin Eegentemer. D'Inschreiwung verbënnt en ugepassten Identitéitsdokument mat deem Rekord. Bei der Verbindung verifizéiert d'VPN de Beweis, deen seng konfiguréiert Method verlaangt. Eng Serienummer déi an en Inschreiwungsformular getippt gëtt, soll net automatesch d'Autorisatioun vun deem Apparat kréien, well de Formular just beweist datt een d'Serienummer kennt. Trennt déi dräi Schrëtt an all eenzel kann eenzel getest ginn.

Eng Markéierungsdatei ass an enger Hisiicht schlëmmer wéi eng Serienummer: se ze kopéieren ass trivial, an all Kopie gesäit gläich iwwerzeegend aus.

Kuckt wat den Apparat wierklech presentéiert

Kuckt den Identitéitsdokument deen de Client tatsächlech späichert ier Dir unhëlt datt hien apparatspezifesch ass.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

D'Lëscht weist wéi eng Maschinnenzertifikater existéieren an ob e private Schlëssel dobäi ass, wat den Ënnerscheed tëscht enger ëffentlecher Datei an engem brauchbaren Dokument ass. Den Dump vum Späicher bäi setzt den Numm vum Fournisseur, an e Softwarefournisseur géintiwwer engem Plattformkrypto-Fournisseur ass den éischten Hiwäis wou de Schlëssel wunnt. En Zertifikat ouni säi private Schlëssel authentifizéiert näischt, wärend en private Schlëssel, deen op eng aner Maschinn exportéiert gouf, den Dokument transportabel mécht egal wat säi Sujet seet. Notéiert den Fangerofdrock an de Fournisseur amplaz vum Anzeigenumm.

Hardware-Schutz brauch Beweiser

En Zertifikat ass ëffentlech Informatioun, dofir ass d'sënnvoll Fro wou de private Schlëssel wunnt an ob dee Schutz attestéiert gouf. D'TPM-Schlësselattestatioun beschreift en Ufroer deen enger Zertifizéierungsautoritéit beweist datt e Schlëssel duerch en vertrauten TPM geschützt ass, wat méi staark ass wéi en Hardwarefournisseur an enger Ufro ze nennen. Et ass och eng Architektur mat hiren eegene Vertrauensannahmen, net eppes wat e VPN-Client standardméisseg aschalt. Bestätegt wat den Aussteller akzeptéiert a wat de Gateway iwwer den entstehenden Dokument forcéiert, well Späicherung, Attestatioun an Zouloossungspolitik sinn dräi Komponenten.

En hardwaregestäipte Schlëssel seet nach ëmmer näischt iwwer de Patch-Niveau, déi aktuell Zoudeelung oder wéi d'Sessioun benotzt gëtt. Dat brauch seng eegen Kontrollen.

Maacht den Ersatz an d'Entferne konkret

Plangt wat geschitt wann en Apparat verluer geet, reparéiert, nei zougedeelt oder ersat gëtt. Eng Ännerung vum Mainboard oder en geläschte Schlësselspäicher erfuerdert normalerweis eng ënnerstëtzt Neiinschreiwung amplaz al Geheimnisser ze kopéieren fir déi original Maschinn ze imitéieren. Notéiert den Actif, d'Identitéitskennung, den Eegentemer, d'Inschreiwungsentscheedung an d'Zougriffsroll zesummen, sou datt den nächsten Administrateur gesäit wat zu wat gehéiert. Entfernt d'Autorisatioun déi de Gateway tatsächlech akzeptéiert, well en Inventarstatus z'änneren beweist näischt iwwer en existéierenden Dokument oder eng Sessioun.

Test duerno d'Grenz: en approuvéierten Apparat verbënnt sech, en kopéierten Etikett eleng net, an eng pensionéiert Identitéit hält op ze funktionéieren. Eng Datei mam Numm approved bleift en Etikett bis e vertrauenswürdege Prozess hir Bedeitung gëtt.