डिव्हाइस टॅग VPN क्रेडेन्शियल नाहीत: वेगळे करायचे तीन दावे

होस्टनेम, सिरिअल क्रमांक आणि लपलेल्या मार्कर फाइली लॅपटॉपला लेबल लावण्यास मदत करतात, आणि त्यांपैकी कोणतीही गोष्ट हे सिद्ध करत नाही की त्यांपैकी एक सादर करणारा लॅपटॉप हेच मंजूर उपकरण आहे. प्रवेश तीन वेगळ्या दाव्यांवर उभा आहे: मालमत्ता संस्थेने नोंदवलेली तीच आहे, क्लायंटकडे त्यासाठी जारी केलेले क्रेडेन्शियल आहे, आणि ते क्रेडेन्शियल धोरणाने मागितल्याप्रमाणे संरक्षित आहे. त्यांना एकाच तपासणीत एकत्र करणे हाच तो मार्ग ज्यातून नकल केलेल्या फाइली आणि क्लोन केलेल्या किल्या निसटतात.

एकात विलीन होणारे तीन दावे

इन्व्हेंटरी नोंद मालमत्ता आणि तिच्या मालकाचे वर्णन करते. नोंदणी योग्य क्रेडेन्शियल त्या नोंदीशी जोडते. कनेक्शनच्या वेळी VPN त्याच्या संरचित पद्धतीने मागितलेला पुरावा तपासते. नोंदणी अर्जात टाइप केलेला सिरिअल क्रमांक त्या उपकरणाचा अधिकार आपोआप मिळू नये, कारण अर्ज फक्त एवढेच सिद्ध करतो की कोणालातरी सिरिअल क्रमांक माहीत आहे. तीन टप्पे वेगळे करा आणि प्रत्येकाची स्वतंत्रपणे चाचणी करता येते.

मार्कर फाइल एका बाबतीत सिरिअल क्रमांकापेक्षा वाईट आहे: तिची नकल करणे सोपे आहे, आणि प्रत्येक नकल तितकीच पटण्यासारखी दिसते.

उपकरण प्रत्यक्षात काय सादर करते ते पहा

क्रेडेन्शियल उपकरण-विशिष्ट आहे असे गृहीत धरण्यापूर्वी क्लायंट प्रत्यक्षात जे साठवतो ते पहा.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

यादी दाखवते की कोणती मशीन प्रमाणपत्रे आहेत आणि खाजगी की आहे का, हा सार्वजनिक फाइल आणि वापरण्यायोग्य क्रेडेन्शियल यांतील फरक आहे. स्टोअरचा डंप पुरवठादाराचे नाव जोडतो, आणि सॉफ्टवेअर पुरवठादार विरुद्ध प्लॅटफॉर्म क्रिप्टो पुरवठादार हा की कुठे राहते याचा पहिला सुगावा आहे. स्वतःच्या खाजगी कीशिवाय प्रमाणपत्र काहीही प्रमाणित करत नाही, तर दुसऱ्या मशीनवर निर्यात केलेली खाजगी की क्रेडेन्शियल वाहून नेण्यायोग्य बनवते, त्याचा विषय काहीही सांगो. दाखवलेल्या नावाऐवजी थंबप्रिंट आणि पुरवठादार नोंदवा.

हार्डवेअर संरक्षणाला पुरावा हवा

प्रमाणपत्र सार्वजनिक माहिती आहे, म्हणून अर्थपूर्ण प्रश्न हा आहे की खाजगी की कुठे राहते आणि ते संरक्षण प्रमाणित झाले आहे का. TPM की प्रमाणन अशा विनंतीकर्त्याचे वर्णन करते जो प्रमाणपत्र प्राधिकाऱ्याला सिद्ध करतो की की विश्वासार्ह TPM ने संरक्षित आहे, जे विनंतीत हार्डवेअर पुरवठादाराचे नाव देण्यापेक्षा अधिक मजबूत आहे. हे स्वतःच्या विश्वास-गृहीतकांसह येणारे स्थापत्यही आहे, VPN क्लायंट डीफॉल्टने सक्षम करतो असे काही नाही. जारीकर्ता काय स्वीकारतो आणि गेटवे परिणामी क्रेडेन्शियलबद्दल काय लागू करतो याची पुष्टी करा, कारण साठवण, प्रमाणन आणि प्रवेश धोरण हे तीन घटक आहेत.

हार्डवेअर-आधारित की अजूनही पॅच पातळी, सध्याचे वाटप किंवा सत्र कसे वापरले जाते याबद्दल काहीही सांगत नाही. त्यांना स्वतःचे नियंत्रण हवे.

बदली आणि काढणे ठोस करा

उपकरण हरवले, दुरुस्त झाले, पुन्हा नेमले किंवा बदलले तेव्हा काय होते याची योजना करा. मदरबोर्ड बदलणे किंवा पुसलेला की स्टोअर यास सहसा समर्थित पुनर्नोंदणी लागते, मूळ मशीनचे अनुकरण करण्यासाठी जुनी रहस्ये नकलणे नव्हे. मालमत्ता, क्रेडेन्शियल ओळखकर्ता, मालक, नोंदणी निर्णय आणि प्रवेश भूमिका एकत्र नोंदवा, जेणेकरून पुढील प्रशासकाला काय कशाचे आहे ते दिसेल. गेटवे प्रत्यक्षात स्वीकारतो तो अधिकार काढून टाका, कारण इन्व्हेंटरी स्थिती बदलणे विद्यमान क्रेडेन्शियल किंवा सत्राबद्दल काहीही सिद्ध करत नाही.

मग सीमा तपासा: मंजूर उपकरण जोडले जाते, केवळ नकल केलेले लेबल जोडले जात नाही, आणि निवृत्त ओळख काम करणे थांबवते. approved नावाची फाइल विश्वासार्ह प्रक्रिया तिला अर्थ देईपर्यंत लेबलच राहते.