Ознаките на уредот не се VPN акредитиви: три тврдења што треба да се разделат

Имињата на домаќини, сериските броеви и скриените маркер-датотеки помагаат да се означи преносен сметач, и ниту едно од нив не докажува дека преносниот сметач што покажува едно од нив е одобрениот уред. Приемот се потпира на три одделни тврдења: средството е она што организацијата го запишала, клиентот го поседува акредитивот издаден за него и тој акредитив е заштитен како што бара политиката. Нивното спојување во една проверка е патот по кој копирани датотеки и клонирани клучеви се провлекуваат.

Три тврдења што се спојуваат во едно

Инвентарниот запис го опишува средството и неговиот сопственик. Записот поврзува соодветен акредитив со тој запис. При поврзување, VPN го проверува доказот што го бара неговиот конфигуриран метод. Сериски број внесен во формулар за запишување не треба автоматски да ја добие авторизацијата на тој уред, бидејќи формуларот докажува само дека некој го знае серискиот број. Разделете ги трите чекори и секој може да се тестира одделно.

Маркер-датотеката е полоша од сериски број во една смисла: копирањето е тривијално, и секое копие изгледа подеднакво уверливо.

Погледнете што навистина покажува уредот

Погледнете го акредитивот што клиентот навистина го чува пред да претпоставите дека е специфичен за уредот.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Списокот покажува кои сертификати на машината постојат и дали е присутен приватен клуч, што е разликата меѓу јавна датотека и употреблив акредитив. Исписот на складиштето го додава името на давателот, а софтверски давател наспроти платформски крипто давател е првиот навестување каде живее клучот. Сертификат без својот приватен клуч не автентицира ништо, додека приватен клуч извезен на друга машина го прави акредитивот пренослив што и да каже неговиот субјект. Запишете го отпечатокот и давателот наместо прикажаното име.

Хардверската заштита бара докази

Сертификатот е јавна информација, па значајното прашање е каде живее приватниот клуч и дали таа заштита е потврдена. TPM-потврдата на клуч опишува подносител на барање што на сертификациско тело му докажува дека клучот е заштитен со доверлив TPM, што е посилно од наведување хардверски давател во барање. Тоа е и архитектура со сопствени претпоставки за доверба, а не нешто што VPN-клиент го вклучува стандардно. Потврдете што прима издавачот и што наметнува портата во врска со добиениот акредитив, бидејќи складирање, потврда и политика на прием се три компоненти.

Клучот поддржан од хардвер сè уште не кажува ништо за нивото на закрпи, тековната додела или како се користи сесијата. За тоа се потребни сопствени контроли.

Направете ја замената и отстранувањето конкретни

Планирајте што се случува кога уредот ќе се изгуби, поправи, прераспредели или замени. Промена на матичната плоча или избришано складиште на клучеви обично бара поддржано повторно запишување, а не копирање стари тајни за да се имитира оригиналната машина. Запишете ги средството, идентификаторот на акредитивот, сопственикот, одлуката за запишување и улогата за пристап заедно, за да може следниот администратор да види што на што припаѓа. Отстранете ја авторизацијата што портата навистина ја прима, бидејќи промената на инвентарниот статус не докажува ништо за постоечки акредитив или сесија.

Потоа тестирајте ја границата: одобрен уред се поврзува, само копирана ознака не, и повлечен идентитет престанува да работи. Датотека наречена approved останува ознака додека доверлив процес не ѝ даде значење.