Įrenginio žymos nėra VPN prisijungimo duomenys: trys teiginiai, kuriuos reikia atskirti

Pagrindinio kompiuterio vardai, serijos numeriai ir paslėpti žymeklio failai padeda pažymėti nešiojamąjį kompiuterį, ir nė vienas jų neįrodo, kad jį pateikiantis nešiojamasis kompiuteris yra patvirtintas įrenginys. Priėmimas remiasi trimis atskirais teiginiais: turtas yra tas, kurį užregistravo organizacija, klientas turi jam išduotus prisijungimo duomenis, ir tie duomenys apsaugoti taip, kaip reikalauja politika. Jų sujungimas į vieną patikrą yra kelias, kuriuo praslysta nukopijuoti failai ir klonuoti raktai.

Trys teiginiai, sujungiami į vieną

Inventoriaus įrašas aprašo turtą ir jo savininką. Registracija susieja tinkamus prisijungimo duomenis su tuo įrašu. Jungiantis VPN patikrina įrodymą, kurio reikalauja jo sukonfigūruotas metodas. Registracijos formoje įvestas serijos numeris neturėtų automatiškai gauti to įrenginio autorizacijos, nes forma įrodo tik tai, kad kažkas žino serijos numerį. Atskirkite tris veiksmus ir kiekvieną galima išbandyti atskirai.

Žymeklio failas vienu atžvilgiu blogesnis už serijos numerį: jį nukopijuoti nesunku, o kiekviena kopija atrodo vienodai įtikinamai.

Pažiūrėkite, ką įrenginys iš tikrųjų pateikia

Pažiūrėkite į prisijungimo duomenis, kuriuos klientas iš tikrųjų saugo, prieš manydami, kad jie būdingi įrenginiui.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Sąrašas rodo, kurie kompiuterio sertifikatai egzistuoja ir ar yra privatus raktas, o tai yra skirtumas tarp viešo failo ir naudojamų prisijungimo duomenų. Saugyklos išrašas prideda teikėjo vardą, o programinės įrangos teikėjas prieš platformos kriptografijos teikėją yra pirmoji užuomina, kur gyvena raktas. Sertifikatas be savo privataus rakto nieko neautentifikuoja, o į kitą kompiuterį eksportuotas privatus raktas padaro prisijungimo duomenis perkeliamus, ką bebūtų sakoma jo subjekte. Užrašykite piršto atspaudą ir teikėją, o ne rodomą vardą.

Aparatinei apsaugai reikia įrodymų

Sertifikatas yra vieša informacija, todėl prasmingas klausimas yra, kur gyvena privatus raktas ir ar ta apsauga buvo patvirtinta. TPM rakto patvirtinimas aprašo prašytoją, kuris sertifikavimo institucijai įrodo, kad raktą saugo patikimas TPM, o tai stipriau nei įvardyti aparatinės įrangos teikėją prašyme. Tai taip pat architektūra su savo pasitikėjimo prielaidomis, o ne kažkas, ką VPN klientas įjungia pagal numatytuosius nustatymus. Patvirtinkite, ką priima išdavėjas ir ką tinklo vartai reikalauja dėl gauto prisijungimo duomenų, nes saugojimas, patvirtinimas ir priėmimo politika yra trys komponentai.

Aparatinės įrangos palaikomas raktas vis tiek nieko nesako apie pataisų lygį, dabartinį priskyrimą ar sesijos naudojimą. Tam reikia atskirų kontrolių.

Padarykite pakeitimą ir pašalinimą konkrečius

Suplanuokite, kas nutinka, kai įrenginys pametamas, suremontuojamas, perskirstomas ar pakeičiamas. Pagrindinės plokštės pakeitimas ar ištrinta raktų saugykla paprastai reikalauja palaikomos pakartotinės registracijos, o ne senų paslapčių kopijavimo imituojant pirminį kompiuterį. Užrašykite turtą, prisijungimo duomenų identifikatorių, savininką, registracijos sprendimą ir prieigos vaidmenį kartu, kad kitas administratorius matytų, kas kam priklauso. Pašalinkite autorizaciją, kurią tinklo vartai iš tikrųjų priima, nes inventoriaus būsenos pakeitimas nieko neįrodo apie esamus prisijungimo duomenis ar sesiją.

Tada išbandykite ribą: patvirtintas įrenginys prisijungia, vien nukopijuota etiketė ne, o išleistos tapatybės prisijungimas nutrūksta. Failas pavadinimu approved lieka etikete, kol patikimas procesas nesuteikia jam prasmės.