PIV-Amelung schléit op Windows mat EAP-TLS fehl? Préift den Ënnerschrëftspad

Weist d'Zertifikat vun enger PIV-Kaart an all Windows-Dialog an d'VPN-Amelung kann trotzdeem fehlschloen, well Sichtbarkeet a Benotzbarkeet verschidde Eigenschafte sinn. D'Zertifikat ass en ëffentlecht Objet; d'Amelung brauch eng Privatschlëssel-Operatioun, déi d'Kaart no hirem eegenen Zougangsregele mécht. Tëschent dësen zwou Tatsaachen leien véier Etappen, déi op véier verschidde Weeër fehlschloen: Profilauswiel, Zertifikatsauswiel, lokal Ënnerschrëft a Validatioun op der Serversäit. Se der Rei no duerchzegoen mécht aus engem allgemengen Handshake-Fehler eng konkret Fro fir dejenegen, deen den nächsten Deel huet.

Fänkt mam Profil an der EAP-Method un

Maacht d'Eigenschafte vun der Verbindung op a liest, wéi eng EAP-Method de Profil tatsächlech benotzt, a liest dann, wéi en Zertifikat d'Method auswielen soll. Vill Installatioune hunn souwuel eng zertifikatsbaséiert baussenzeg Method wéi och eng bannenzeg Method, an en Zertifikat, deen op Verbindungsniveau konfiguréiert ass, ass net automatesch deen, deen an EAP-TLS presentéiert gëtt. Wann de Profil en Zertifikat no Aussteller oder no Sujetfilter auswielt, wielt dee Filter aus deem, wat Windows am entspriechende Späicher gesäit, net aus deem, wat d'Kaart zoufälleg huet. En Filter, deen op näischt passt, fält je no Konfiguratioun vum Profil op eng Ufro oder op e stille Fehler zréck, dofir ass et derwäert, den ausgewielten Fangerofdrock virun all Ännerung ze notéieren.

Stellt och fest, ob d'Verbindung als agemellte Benotzer oder als Computer leeft. Dee eenzege Fait entscheet, wéi eng Zertifikatsspäicher am Beräich sinn a wéi ee Sécherheetskontext d'Ënnerschrëft ausféiert.

Bestätegt, wéi en Zertifikat ausgewielt gouf

Vergläicht den Fangerofdrock, deen Windows gewielt huet, mat der Ufuerderung: Benotzung fir Client-Authentifikatioun, eng Kette, déi an enger vertrauter Wuerzel ophält, eng Identitéit, déi d'Politik vum Authentifikatiounsserver ofbildet, an eng Gëltegkeetsperiod, déi de richtegen Ament vum Versuch deckt. Dat sinn eenzel Prüfungen an déi lescht fänkt méi Iwwerraschunge wéi d'Leit erwaarden, besonnesch mat Zertifikater, déi fortlafend ausgestallt ginn, a gecachte Profilen, déi nach op déi gestreg Auswiel weisen.

Benotzer- a Computerskontext ass déi aner Halschent vun der Prüfung. En Zertifikat am perséinleche Späicher vum Benotzer ass onsichtbar fir en Déngscht, deen als Computer leeft, an en Computerszertifikat gëtt net vun engem EAP-Austausch am Benotzermodus presentéiert, ausser de Profil seet et. En Zertifikat an de falsche Späicher nei ze importéiere gëtt en sichtbart Zertifikat an eng onsichtbar Amelungsbeweiser. Liest de Späicherpad am Profil, net deen aus dem Dialog, deen zoufälleg opgaangen ass.

Test d'Schlësseloperatioun, ouni d'PIN ze roden

Wann d'Auswiel gekläert ass, ass d'Fro, ob d'Kaart d'Ënnerschrëft mécht. Windows brauch en ënnerstëtzte Kaartprovider oder e Minidriver, fir un de Privatschlëssel ze kommen, an den Apparat applikéiert seng eege PIN- a Präsenzregele op d'Operatioun. Eng Kaart, déi fir all Ënnerschrëft eng Beréierung verlaangt, verhält sech anescht wéi eng, déi eng Verifikatioun fir eng Sessioun cachet, a béid si legitim Konfiguratiounen, déi änneren, wéini eng Ufro erschéngt. Dee Ënnerscheed erkläert eng Amelung, déi bei frëschem Asetze geléngt an no enger Fortsetzung fehlschléit, ouni dass en Zertifikat falsch wier.

certutil.exe -scinfo
certutil.exe -store -user My
Get-WinEvent -LogName Application -MaxEvents 40 | Where-Object ProviderName -like '*Ras*'

Déi éischt Kommando inventariséiert d'Kaart a mellt de Status vu Lieser a Provider, wat an Microsoft senger Uleedung fir d'Debugge vu Smartcards dokumentéiert ass. Déi zweet zielt op, wat de Benotzerkontext tatsächlech gesäit. Keng vun deenen zwee beweist eng erfollegräich Authentifikatioun; béid engen, wou et opgehalen huet.

Rot d'PIN net. Kaarte forcéieren Neiversichgrenzen, an e puer optimistesch Versich maachen aus engem Berechtegungsproblem en blockéierte Beweiser, deen administrativ Erhuelung brauch. Wann eng lokal Ënnerschrëft fehlschléit, erfaasst de Providerstatus an de Kaartestatus amplaz Varianten ze probéieren. Widderhëlt de Versuch eng Kéier mam selwechte Profil, dem selwechten Zertifikat an engem bekannten gudde Lieserpad, a vergläicht dann déi zwou Opzeechnungen; verschidde Variabelen gläichzäiteg ze änneren ergëtt eng Geschicht an net en Resultat.

Liest béid Säiten vum Handshake

Eng fäerdeg Ënnerschrëft ass nach keng Zoulossung. Den Authentifikatiounsserver muss d'Kette akzeptéieren, de Widderruff prüfen, d'Identitéit no senge aktuellen Regele ofbilden an d'Ufro autoriséieren; de Client muss säinerseits den Zertifikat vum Server validéieren, wéi de Profil et verlaangt. Eng TLS-Warnung, déi vum Server generéiert gëtt, gesäit am Client-Log aus wéi eng lokal generéiert, dofir ass d'Säit, déi se ausgëtt, méi wichteg wéi den Text vun der Warnung.

Sammelt d'Windows-Evenementer an d'Evenementer op der Serversäit mat ofgestëmmten Zäitstempelen, a bestëmmt dann, wéi eng Säit den éischte Fehler produzéiert huet. RFC 5216 beschreift de Schrëtt vum Besitzbeweis an EAP-TLS, an eng allgemeng Handshake-Warnung nennt net vun sech aus eng lokal Schlësselursaach. Den Zäitstempelvergläich ass et, deen zwou Loge an eng Sequenz verwandelt.

Halt d'Grenzen am Rapport riicht

Schreift de Rapport als véier Etappen mat je engem Verdikt: wéi ee Profil a Kontext gelaf sinn, wéi en Zertifikat Windows ausgewielt huet, ob d'Kaart ënnerschriwwen huet a wat de Server decidéiert huet. Dee Struktur mécht den nächsten Schrëtt evident a verhënnert déi üblech Reparatur, d'Validatioun auszeschalten, fir un enger Etapp virbäizukommen, déi keen identifizéiert huet.

En Softwarezertifikat als temporäre Verglach ass en legitimen Administratortest, awer et ännert de Modell vu Beweiser a Sécherheet, dofir gehéiert et an eng geneemegt Ännerung an net an eng stille Ëmgeeung an der Produktioun. Déi selwecht Disziplin gëllt fir PIN-Versich an fir d'Nei-Ausstellung vu Beweiser, ier d'fehlschloend Etapp bekannt ass. Eng Ersatzkaart, déi identesch fehlschléit, ass e deieren Beweis, datt de Problem ni op der Kaart war.