Windows EAP-TLS дээр PIV нэвтрэлт бүтэхгүй байна уу? Гарын үсгийн замыг шалгаарай

PIV картын гэрчилгээг Windows-ын бүх цонхонд харуулсан ч VPN нэвтрэлт бүтэхгүй байж болно, учир нь харагдах байдал ба ашиглах чадвар нь өөр өөр шинж чанар юм. Гэрчилгээ бол нийтийн объект; нэвтрэлт нь карт өөрийн хандалтын дүрмийн дагуу гүйцэтгэх хувийн түлхүүрийн үйлдлийг шаарддаг. Эдгээр хоёр баримтын хооронд дөрвөн өөр аргаар бүтэлгүйтдэг дөрвөн үе шат байдаг: профайлын сонголт, гэрчилгээний сонголт, локал гарын үсэг, серверийн талын баталгаажуулалт. Тэдгээрийг дарааллаар нь туулах нь ерөнхий гар барилтын алдааг дараагийн хэсгийг эзэмшигчид зориулсан тодорхой асуулт болгоно.

Профайл ба EAP аргаас эхлээрэй

Холболтын шинж чанарыг нээж, профайл яг ямар EAP аргыг ашиглаж байгааг уншаад, дараа нь тухайн арга ямар гэрчилгээг сонгохоор тохируулагдсаныг уншаарай. Олон байршуулалтад гэрчилгээнд суурилсан гадаад арга ба дотоод арга хоёулаа байдаг бөгөөд холболтын түвшинд тохируулсан гэрчилгээ нь EAP-TLS дотор танилцуулагдах гэрчилгээ автоматаар биш юм. Хэрэв профайл гэрчилгээг гаргагчаар эсвэл субъектийн шүүлтүүрээр сонгодог бол тэр шүүлтүүр нь тухайн санд Windows-ын харж чадах зүйлээс сонгодог, картад санамсаргүй байгаа зүйлээс биш. Юутай ч тохирохгүй шүүлтүүр нь профайлын тохиргооноос хамааран сануулга руу эсвэл чимээгүй бүтэлгүйтэл рүү шилждэг, иймээс сонгосон хурууны хээг ямар ч өөрчлөлтөөс өмнө бүртгэх нь зүйтэй.

Мөн холболт нэвтэрсэн хэрэглэгчийн хувьд эсвэл машины хувьд ажиллаж байгаа эсэхийг тогтоогоорой. Тэр ганц баримт аль гэрчилгээний сан хамрах хүрээнд байх, аль аюулгүй байдлын контекст гарын үсгийг гүйцэтгэхийг шийддэг.

Аль гэрчилгээ сонгогдсоныг баталгаажуулаарай

Windows-ын сонгосон хурууны хээг шаардлагатай харьцуулаарай: клиентийн баталгаажуулалтын зориулалт, итгэмжлэгдсэн үндэс дээр төгсдөг гинжин хэлхээ, баталгаажуулалтын серверийн бодлого буулгадаг таних мэдээлэл, оролдлогын бодит мөчийг хамарсан хүчинтэй хугацаа. Эдгээр нь тусдаа шалгалтууд бөгөөд сүүлийнх нь хүмүүсийн хүлээж байснаас илүү олон гэнэтийн зүйлийг барьдаг, ялангуяа ээлжлэн олгогддог гэрчилгээ, өчигдрийн сонголт руу хараахан зааж байгаа кэштэй профайлуудын хувьд.

Хэрэглэгч ба машины контекст нь шалгалтын нөгөө хагас юм. Хэрэглэгчийн хувийн санд байгаа гэрчилгээ нь машины хувьд ажиллаж байгаа үйлчилгээнд харагдахгүй, харин машины гэрчилгээг профайл заагаагүй бол хэрэглэгчийн горимын EAP солилцоо танилцуулдаггүй. Гэрчилгээг буруу санд дахин импортлох нь харагдах гэрчилгээ, харагдахгүй нэвтрэх итгэмжлэл үүсгэдэг. Профайл дахь сангийн замыг уншаарай, санамсаргүй нээгдсэн цонхны замыг биш.

PIN-ыг таамаглахгүйгээр түлхүүрийн үйлдлийг туршаарай

Сонголт тодорхой болсны дараа карт гарын үсгийг гүйцэтгэх эсэх нь асуулт болно. Хувийн түлхүүрт хүрэхийн тулд Windows-д дэмжигдсэн картын нийлүүлэгч эсвэл минидрайвер хэрэгтэй бөгөөд төхөөрөмж үйлдэлд өөрийн PIN ба оролцооны дүрмийг хэрэглэдэг. Гарын үсэг бүрт хүрэлт шаардахаар тохируулсан карт нь сессэд баталгаажуулалтыг кэшлэдэг картаас өөрөөр ажилладаг бөгөөд хоёулаа сануулга хэзээ гарч ирэхийг өөрчилдөг хууль ёсны тохиргоо юм. Энэ ялгаа нь шинээр оруулахад бүтэж, сэргээлтийн дараа бүтэлгүйтдэг нэвтрэлтийг тайлбарладаг, ямар ч гэрчилгээ буруу байхгүйгээр.

certutil.exe -scinfo
certutil.exe -store -user My
Get-WinEvent -LogName Application -MaxEvents 40 | Where-Object ProviderName -like '*Ras*'

Эхний команд картыг бүртгэж, уншигч ба нийлүүлэгчийн төлөвийг мэдээлдэг бөгөөд энэ нь Microsoft-ын ухаалаг картын дибаг хийх зааварт баримтлагдсан. Хоёр дахь нь хэрэглэгчийн контекст бодитоор юу харж чадахыг жагсаана. Аль нь ч амжилттай баталгаажуулалтыг нотолдоггүй; хоёулаа хаана зогссоныг нарийсгадаг.

PIN-ыг таамаглаж болохгүй. Картууд дахин оролдлогын хязгаарыг мөрддөг бөгөөд хэдхэн өөдрөг оролдлого нь зөвшөөрлийн асуудлыг захиргааны сэргээлт шаардсан хаагдсан итгэмжлэл болгоно. Локал гарын үсэг бүтэлгүйтвэл хувилбаруудыг туршихын оронд нийлүүлэгчийн төлөв ба картын төлөвийг бүртгээрэй. Ижил профайл, ижил гэрчилгээ, мэдэгдэж байгаа сайн уншигчийн замтайгаар оролдлогыг нэг удаа давтаж, хоёр бичлэгийг харьцуулаарай; хэд хэдэн хувьсагчийг зэрэг өөрчлөх нь үр дүн биш түүх үүсгэдэг.

Гар барилтын хоёр талыг уншаарай

Гүйцэтгэсэн гарын үсэг нь орох эрх болохгүй хэвээр. Баталгаажуулалтын сервер гинжийг хүлээн авч, цуцлалтыг шалгаж, таних мэдээллийг одоогийн дүрмийн дагуу буулгаж, хүсэлтийг зөвшөөрөх ёстой; клиент эргээд профайлын шаардсанаар серверийн гэрчилгээг баталгаажуулах ёстой. Серверийн үүсгэсэн TLS анхааруулга нь клиентийн бүртгэлд локалаар үүсгэсэнтэй ижил харагддаг, иймээс анхааруулгын текстээс илгээгч тал илүү чухал.

Windows-ын үйл явдлууд болон серверийн талын үйл явдлуудыг таарсан цагийн тэмдэглэгээтэй цуглуулаад, аль тал эхний бүтэлгүйтлийг үүсгэснийг тодорхойлоорой. RFC 5216 нь EAP-TLS дахь эзэмшлийн нотолгооны алхмыг тайлбарладаг бөгөөд ерөнхий гар барилтын анхааруулга өөрөө локал түлхүүрийн шалтгааныг нэрлэдэггүй. Цагийн тэмдэглэгээний харьцуулалт нь хоёр бүртгэлийг дараалал болгодог.

Тайланд хил хязгаарыг зөв бариарай

Тайланг дөрвөн үе шат, тус бүрд нь нэг дүгнэлттэйгээр бичээрэй: ямар профайл ба контекст ажилласан, Windows ямар гэрчилгээ сонгосон, карт гарын үсэг зурсан эсэх, сервер юу шийдсэн. Энэ бүтэц дараагийн алхмыг тодорхой болгож, хэн ч тодорхойлоогүй үе шатыг давахын тулд баталгаажуулалтыг унтраах нийтлэг засварыг сэргийлдэг.

Түр харьцуулалт болгон ашиглах програм хангамжийн гэрчилгээ нь хууль ёсны администраторын туршилт боловч итгэмжлэл ба баталгааны загварыг өөрчилдөг тул чимээгүй үйлдвэрлэлийн тойрч гарах аргаас илүүтэйгээр батлагдсан өөрчлөлтөд хамаарна. Мөн адил сахилга бат PIN оролдлого болон бүтэлгүйтэж буй үе шатыг мэдэхээс өмнө итгэмжлэлийг дахин олгоход хамаарна. Ижилхэн бүтэлгүйтдэг солих карт нь асуудал хэзээ ч карт дээр байгаагүйн үнэтэй нотолгоо юм.