Windows EAP-TLS-ൽ PIV ലോഗിൻ പരാജയപ്പെടുന്നുണ്ടോ? സൈനിംഗ് പാത പരിശോധിക്കുക

എല്ലാ Windows ഡയലോഗുകളിലും PIV കാർഡിന്റെ സർട്ടിഫിക്കറ്റ് കാണിച്ചാലും VPN ലോഗിൻ ഇപ്പോഴും പരാജയപ്പെടാം, കാരണം ദൃശ്യതയും ഉപയോഗ്യതയും വ്യത്യസ്ത സവിശേഷതകളാണ്. സർട്ടിഫിക്കറ്റ് ഒരു പൊതു വസ്തുവാണ്; ലോഗിന് കാർഡ് സ്വന്തം ആക്സസ് നിയമങ്ങൾക്കനുസരിച്ച് നടത്തുന്ന ഒരു സ്വകാര്യ-കീ പ്രവർത്തനം ആവശ്യമാണ്. ഈ രണ്ട് വസ്തുതകൾക്കിടയിൽ നാല് വ്യത്യസ്ത രീതികളിൽ പരാജയപ്പെടുന്ന നാല് ഘട്ടങ്ങളുണ്ട്: പ്രൊഫൈൽ തിരഞ്ഞെടുപ്പ്, സർട്ടിഫിക്കറ്റ് തിരഞ്ഞെടുപ്പ്, പ്രാദേശിക സൈനിംഗ്, സർവർ-വശ വാലിഡേഷൻ. അവ കൃത്യമായി പിന്തുടരുന്നത് പൊതുവായ ഒരു ഹാൻഡ്ഷേക്ക് പിശകിനെ അടുത്ത ഭാഗം ഉള്ളവർക്കുള്ള വ്യക്തമായ ചോദ്യമാക്കി മാറ്റുന്നു.

പ്രൊഫൈലും EAP രീതിയും കൊണ്ട് തുടങ്ങുക

കണക്ഷന്റെ പ്രോപ്പർട്ടികൾ തുറന്ന് പ്രൊഫൈൽ യഥാർത്ഥത്തിൽ ഏത് EAP രീതി ഉപയോഗിക്കുന്നു എന്ന് വായിക്കുക, തുടർന്ന് ആ രീതി ഏത് സർട്ടിഫിക്കറ്റ് തിരഞ്ഞെടുക്കാൻ ക്രമീകരിച്ചിരിക്കുന്നു എന്നും വായിക്കുക. പല വിന്യാസങ്ങളിലും സർട്ടിഫിക്കറ്റ് അടിസ്ഥാനമാക്കിയ ഒരു പുറം രീതിയും ഒരു ആന്തരിക രീതിയും ഉണ്ട്, കൂടാതെ കണക്ഷൻ തലത്തിൽ ക്രമീകരിച്ച സർട്ടിഫിക്കറ്റ് EAP-TLS-നുള്ളിൽ അവതരിപ്പിക്കുന്നത് സ്വയമേവ അല്ല. പ്രൊഫൈൽ ഇഷ്യൂവർ വഴിയോ സബ്ജക്ട് ഫിൽട്ടർ വഴിയോ സർട്ടിഫിക്കറ്റ് തിരഞ്ഞെടുക്കുന്നുവെങ്കിൽ, ആ ഫിൽട്ടർ ബന്ധപ്പെട്ട സ്റ്റോറിൽ Windows കാണുന്നതിൽ നിന്നാണ് തിരഞ്ഞെടുക്കുന്നത്, കാർഡിൽ യഥാർത്ഥത്തിൽ ഉള്ളതിൽ നിന്നല്ല. ഒന്നുമായും പൊരുത്തപ്പെടാത്ത ഫിൽട്ടർ, പ്രൊഫൈലിന്റെ ക്രമീകരണം അനുസരിച്ച് ഒരു പ്രോംപ്റ്റിലേക്കോ നിശ്ശബ്ദ പരാജയത്തിലേക്കോ മടങ്ങുന്നു, അതുകൊണ്ടാണ് ഏതെങ്കിലും മാറ്റത്തിന് മുമ്പ് തിരഞ്ഞെടുത്ത തംബ്പ്രിന്റ് രേഖപ്പെടുത്തേണ്ടത്.

കണക്ഷൻ സൈൻ ഇൻ ചെയ്ത ഉപയോക്താവായി പ്രവർത്തിക്കുന്നുണ്ടോ യന്ത്രമായി പ്രവർത്തിക്കുന്നുണ്ടോ എന്നും വ്യക്തമാക്കുക. ആ ഒരു വസ്തുത ഏത് സർട്ടിഫിക്കറ്റ് സ്റ്റോറുകൾ പരിധിയിൽ വരുന്നു, ഏത് സുരക്ഷാ സന്ദർഭം സൈനിംഗ് നിർവഹിക്കുന്നു എന്നിവ തീരുമാനിക്കുന്നു.

ഏത് സർട്ടിഫിക്കറ്റ് തിരഞ്ഞെടുത്തു എന്ന് സ്ഥിരീകരിക്കുക

Windows തിരഞ്ഞെടുത്ത തംബ്പ്രിന്റ് ആവശ്യകതയുമായി താരതമ്യം ചെയ്യുക: ക്ലയന്റ് ഓതന്റിക്കേഷൻ ഉപയോഗം, വിശ്വസ്ത റൂട്ടിൽ അവസാനിക്കുന്ന ഒരു ചെയിൻ, ഓതന്റിക്കേഷൻ സർവറിന്റെ പോളിസി മാപ്പ് ചെയ്യുന്ന ഒരു ഐഡന്റിറ്റി, ശ്രമത്തിന്റെ യഥാർത്ഥ നിമിഷം ഉൾക്കൊള്ളുന്ന ഒരു സാധുതാ കാലയളവ്. ഇവ വെവ്വേറെ പരിശോധനകളാണ്, അവസാനത്തേത് ആളുകൾ പ്രതീക്ഷിക്കുന്നതിലധികം അത്ഭുതങ്ങൾ പിടിക്കുന്നു, പ്രത്യേകിച്ച് ചാക്രികമായി നൽകുന്ന സർട്ടിഫിക്കറ്റുകളുടെയും ഇന്നലത്തെ തിരഞ്ഞെടുപ്പിലേക്ക് ഇപ്പോഴും ചൂണ്ടുന്ന കാഷ് ചെയ്ത പ്രൊഫൈലുകളുടെയും കാര്യത്തിൽ.

ഉപയോക്തൃ-യന്ത്ര സന്ദർഭമാണ് പരിശോധനയുടെ മറ്റേ പകുതി. ഉപയോക്താവിന്റെ സ്വകാര്യ സ്റ്റോറിലുള്ള ഒരു സർട്ടിഫിക്കറ്റ് യന്ത്രമായി പ്രവർത്തിക്കുന്ന ഒരു സേവനത്തിന് ദൃശ്യമല്ല, കൂടാതെ യന്ത്ര സർട്ടിഫിക്കറ്റ് പ്രൊഫൈൽ അങ്ങനെ പറയുന്നില്ലെങ്കിൽ ഉപയോക്തൃ-മോഡ് EAP കൈമാറ്റം അവതരിപ്പിക്കുന്നില്ല. തെറ്റായ സ്റ്റോറിലേക്ക് സർട്ടിഫിക്കറ്റ് വീണ്ടും ഇറക്കുമതി ചെയ്യുന്നത് ദൃശ്യമായ ഒരു സർട്ടിഫിക്കറ്റും അദൃശ്യമായ ഒരു ലോഗിൻ ക്രെഡൻഷ്യലും ഉണ്ടാക്കുന്നു. പ്രൊഫൈലിലെ സ്റ്റോർ പാത വായിക്കുക, അപ്രതീക്ഷിതമായി തുറന്ന ഡയലോഗിലെ പാതയല്ല.

പിൻ ഊഹിക്കാതെ കീ പ്രവർത്തനം പരീക്ഷിക്കുക

തിരഞ്ഞെടുപ്പ് തീർച്ചയായതിന് ശേഷം, കാർഡ് സൈനിംഗ് നിർവഹിക്കുമോ എന്നതാണ് ചോദ്യം. സ്വകാര്യ കീയിൽ എത്താൻ Windows-ന് പിന്തുണയ്ക്കുന്ന ഒരു കാർഡ് പ്രൊവൈഡറോ മിനിഡ്രൈവറോ ആവശ്യമാണ്, കൂടാതെ ഉപകരണം അതിന്റെ സ്വന്തം പിൻ, സാന്നിധ്യ നിയമങ്ങൾ പ്രവർത്തനത്തിൽ പ്രയോഗിക്കുന്നു. ഓരോ സിഗ്നേച്ചറിനും ഒരു സ്പർശം ആവശ്യപ്പെടാൻ ക്രമീകരിച്ച കാർഡ്, ഒരു സെഷനുവേണ്ടി സ്ഥിരീകരണം കാഷ് ചെയ്യുന്ന കാർഡിൽ നിന്ന് വ്യത്യസ്തമായി പ്രവർത്തിക്കുന്നു, രണ്ടും ഒരു പ്രോംപ്റ്റ് എപ്പോൾ പ്രത്യക്ഷപ്പെടുന്നു എന്ന് മാറ്റുന്ന സാധുവായ ക്രമീകരണങ്ങളാണ്. ആ വ്യത്യാസം പുതിയതായി ചേർത്തപ്പോൾ വിജയിക്കുന്നതും റെസ്യൂമിന് ശേഷം പരാജയപ്പെടുന്നതുമായ ഒരു ലോഗിൻ വിശദീകരിക്കുന്നു, ഒരു സർട്ടിഫിക്കറ്റും തെറ്റാകാതെ.

certutil.exe -scinfo
certutil.exe -store -user My
Get-WinEvent -LogName Application -MaxEvents 40 | Where-Object ProviderName -like '*Ras*'

ആദ്യ കമാൻഡ് കാർഡ് ഇൻവെന്ററി ചെയ്ത് റീഡർ, പ്രൊവൈഡർ നില റിപ്പോർട്ട് ചെയ്യുന്നു, അത് Microsoft-ന്റെ സ്മാർട്ട് കാർഡ് ഡീബഗ്ഗിംഗ് മാർഗ്ഗനിർദ്ദേശത്തിൽ രേഖപ്പെടുത്തിയിരിക്കുന്നു. രണ്ടാമത്തേത് ഉപയോക്തൃ സന്ദർഭത്തിന് യഥാർത്ഥത്തിൽ കാണാൻ കഴിയുന്നത് പട്ടികപ്പെടുത്തുന്നു. ഒന്നും വിജയകരമായ ഓതന്റിക്കേഷൻ തെളിയിക്കുന്നില്ല; രണ്ടും അത് എവിടെ നിർത്തി എന്നത് ചുരുക്കുന്നു.

പിൻ ഊഹിക്കരുത്. കാർഡുകൾ വീണ്ടും ശ്രമിക്കാനുള്ള പരിധികൾ നടപ്പാക്കുന്നു, കുറച്ച് ശുഭാപ്തിവിശ്വാസ ശ്രമങ്ങൾ ഒരു അനുമതി പ്രശ്നത്തെ അഡ്മിനിസ്ട്രേറ്റീവ് വീണ്ടെടുക്കൽ ആവശ്യമായ തടഞ്ഞ ക്രെഡൻഷ്യലാക്കി മാറ്റുന്നു. പ്രാദേശിക സൈനിംഗ് പരാജയപ്പെട്ടാൽ, വ്യത്യസ്തതകൾ പരീക്ഷിക്കുന്നതിനുപകരം പ്രൊവൈഡർ നിലയും കാർഡ് അവസ്ഥയും രേഖപ്പെടുത്തുക. അതേ പ്രൊഫൈൽ, അതേ സർട്ടിഫിക്കറ്റ്, അറിയപ്പെടുന്ന നല്ല റീഡർ പാത എന്നിവയോടെ ശ്രമം ഒരിക്കൽ ആവർത്തിച്ച് രണ്ട് രേഖകളും താരതമ്യം ചെയ്യുക; ഒരേസമയം പല വേരിയബിളുകൾ മാറ്റുന്നത് ഒരു ഫലത്തിനുപകരം ഒരു കഥ ഉണ്ടാക്കുന്നു.

ഹാൻഡ്ഷേക്കിന്റെ ഇരുവശവും വായിക്കുക

പൂർത്തിയായ ഒരു സിഗ്നേച്ചർ ഇപ്പോഴും പ്രവേശനമല്ല. ഓതന്റിക്കേഷൻ സർവർ ചെയിൻ സ്വീകരിക്കണം, റദ്ദാക്കൽ പരിശോധിക്കണം, അതിന്റെ നിലവിലെ നിയമങ്ങൾ പ്രകാരം ഐഡന്റിറ്റി മാപ്പ് ചെയ്യണം, അഭ്യർത്ഥന അനുവദിക്കണം; ക്ലയന്റ് പ്രൊഫൈൽ ആവശ്യപ്പെടുന്നതുപോലെ സർവറിന്റെ സർട്ടിഫിക്കറ്റ് വാലിഡേറ്റ് ചെയ്യണം. സർവർ സൃഷ്ടിക്കുന്ന TLS അലർട്ട് ക്ലയന്റിന്റെ ലോഗിൽ പ്രാദേശികമായി സൃഷ്ടിച്ചതിനോട് സമാനമായി കാണപ്പെടുന്നു, അതുകൊണ്ടാണ് അലർട്ട് വാചകത്തേക്കാൾ പുറപ്പെടുവിക്കുന്ന വശം പ്രധാനമാകുന്നത്.

വിന്യസിച്ച സമയമുദ്രകളോടെ Windows ഇവന്റുകളും സർവർ-വശ ഇവന്റുകളും ശേഖരിക്കുക, തുടർന്ന് ആദ്യ പരാജയം ഏത് വശം ഉണ്ടാക്കി എന്ന് തിരിച്ചറിയുക. RFC 5216 EAP-TLS-ലെ ഉടമസ്ഥതാ-തെളിവ് ഘട്ടം വിവരിക്കുന്നു, പൊതുവായ ഒരു ഹാൻഡ്ഷേക്ക് അലർട്ട് സ്വന്തമായി ഒരു പ്രാദേശിക കീ കാരണം പേരിടുന്നില്ല. സമയമുദ്ര താരതമ്യമാണ് രണ്ട് ലോഗുകളെ ഒരു ക്രമമാക്കി മാറ്റുന്നത്.

റിപ്പോർട്ടിൽ അതിരുകൾ നേരെയാക്കി വയ്ക്കുക

റിപ്പോർട്ട് ഓരോന്നിനും ഒരു വിധിയോടെ നാല് ഘട്ടങ്ങളായി എഴുതുക: ഏത് പ്രൊഫൈലും സന്ദർഭവും പ്രവർത്തിച്ചു, Windows ഏത് സർട്ടിഫിക്കറ്റ് തിരഞ്ഞെടുത്തു, കാർഡ് സൈൻ ചെയ്തോ, സർവർ എന്ത് തീരുമാനിച്ചു. ആ ഘടന അടുത്ത ഘട്ടം വ്യക്തമാക്കുകയും ആരും തിരിച്ചറിയാത്ത ഒരു ഘട്ടം കടക്കാൻ വാലിഡേഷൻ ഓഫാക്കുന്ന പതിവ് അറ്റകുറ്റപ്പണി തടയുകയും ചെയ്യുന്നു.

താൽക്കാലിക താരതമ്യത്തിനായുള്ള ഒരു സോഫ്റ്റ്വെയർ സർട്ടിഫിക്കറ്റ് സാധുവായ ഒരു അഡ്മിനിസ്ട്രേറ്റർ പരിശോധനയാണ്, പക്ഷേ അത് ക്രെഡൻഷ്യലും ഉറപ്പ് മാതൃകയും മാറ്റുന്നു, അതിനാൽ അത് നിശ്ശബ്ദമായ ഒരു പ്രൊഡക്ഷൻ പരിഹാരത്തേക്കാളുപകരം അംഗീകരിക്കപ്പെട്ട ഒരു മാറ്റത്തിൽ ഉൾപ്പെടണം. പിൻ ശ്രമങ്ങൾക്കും പരാജയപ്പെടുന്ന ഘട്ടം അറിയുന്നതിന് മുമ്പ് ക്രെഡൻഷ്യലുകൾ പുനർനൽകുന്നതിനും അതേ അച്ചടക്കം ബാധകമാണ്. സമാനമായി പരാജയപ്പെടുന്ന ഒരു പകരം കാർഡ്, പ്രശ്നം ഒരിക്കലും കാർഡിൽ ഉണ്ടായിരുന്നില്ല എന്നതിന് ചെലവേറിയ തെളിവാണ്.