Ierīces atzīmes nav VPN akreditācijas dati: trīs apgalvojumi, kas jāatdala

Resursdatoru nosaukumi, sērijas numuri un slēptas marķiera datnes palīdz marķēt portatīvo datoru, un neviens no tiem nepierāda, ka to uzrādošais portatīvais dators ir apstiprinātā ierīce. Pielaide balstās uz trim atsevišķiem apgalvojumiem: aktīvs ir tas, ko organizācija reģistrējusi, klientam pieder tam izsniegtie akreditācijas dati, un šie dati ir aizsargāti tā, kā prasa politika. To sapludināšana vienā pārbaudē ir ceļš, pa kuru izslīd nokopētas datnes un klonētas atslēgas.

Trīs apgalvojumi, kas tiek sapludināti vienā

Inventāra ieraksts apraksta aktīvu un tā īpašnieku. Reģistrācija saista piemērotus akreditācijas datus ar šo ierakstu. Savienošanas laikā VPN pārbauda pierādījumu, ko prasa tā konfigurētā metode. Reģistrācijas veidlapā ierakstīts sērijas numurs nedrīkstētu automātiski saņemt šīs ierīces atļauju, jo veidlapa pierāda tikai to, ka kāds zina sērijas numuru. Atdaliet trīs soļus, un katru var pārbaudīt atsevišķi.

Marķiera datne vienā ziņā ir sliktāka par sērijas numuru: to nokopēt ir triviāli, un katra kopija izskatās vienlīdz pārliecinoša.

Apskatiet, ko ierīce patiešām uzrāda

Apskatiet akreditācijas datus, ko klients faktiski glabā, pirms pieņemat, ka tie ir ierīcei raksturīgi.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Saraksts parāda, kuri datora sertifikāti pastāv un vai ir privātā atslēga, un tā ir atšķirība starp publisku datni un lietojamiem akreditācijas datiem. Krātuves izdruka pievieno pakalpojumu sniedzēja nosaukumu, un programmatūras sniedzējs pret platformas kriptogrāfijas sniedzēju ir pirmā norāde par to, kur dzīvo atslēga. Sertifikāts bez savas privātās atslēgas neko neautentificē, savukārt uz citu datoru eksportēta privātā atslēga padara akreditācijas datus pārnēsājamus neatkarīgi no tā, ko saka tā subjekts. Ierakstiet pirksta nospiedumu un sniedzēju, nevis parādīto nosaukumu.

Aparatūras aizsardzībai vajag pierādījumus

Sertifikāts ir publiska informācija, tāpēc jēgpilnais jautājums ir, kur dzīvo privātā atslēga un vai šī aizsardzība ir apliecināta. TPM atslēgas apliecināšana apraksta pieprasītāju, kurš sertifikācijas iestādei pierāda, ka atslēgu aizsargā uzticams TPM, un tas ir spēcīgāk nekā pieprasījumā nosaukt aparatūras sniedzēju. Tā ir arī arhitektūra ar saviem uzticēšanās pieņēmumiem, nevis kaut kas, ko VPN klients ieslēdz pēc noklusējuma. Pārliecinieties, ko izdevējs pieņem un ko vārteja uzspiež attiecībā uz iegūtajiem akreditācijas datiem, jo glabāšana, apliecināšana un pielaides politika ir trīs komponenti.

Ar aparatūru atbalstīta atslēga joprojām neko nepasaka par ielāpu līmeni, pašreizējo piešķīrumu vai sesijas izmantošanu. Tam vajadzīgas savas kontroles.

Padariet nomaiņu un noņemšanu konkrētu

Izplānojiet, kas notiek, kad ierīce pazūd, tiek salabota, pārdalīta vai nomainīta. Maternices maiņa vai izdzēsta atslēgu krātuve parasti prasa atbalstītu atkārtotu reģistrāciju, nevis veco noslēpumu kopēšanu, lai atdarinātu sākotnējo datoru. Ierakstiet aktīvu, akreditācijas datu identifikatoru, īpašnieku, reģistrācijas lēmumu un piekļuves lomu kopā, lai nākamais administrators redzētu, kas kam pieder. Noņemiet atļauju, ko vārteja faktiski pieņem, jo inventāra statusa maiņa neko nepierāda par esošiem akreditācijas datiem vai sesiju.

Pēc tam pārbaudiet robežu: apstiprināta ierīce savienojas, vien nokopēta etiķete ne, un izbeigta identitāte pārstāj darboties. Datne ar nosaukumu approved paliek etiķete, līdz uzticams process tai piešķir nozīmi.