Tag peranti bukan kelayakan VPN: tiga dakwaan yang perlu dipisahkan

Nama hos, nombor siri dan fail penanda tersembunyi membantu melabel komputer riba, dan tiada satu pun daripadanya membuktikan bahawa komputer riba yang mengemukakan salah satunya ialah peranti yang diluluskan. Kemasukan bergantung pada tiga dakwaan berasingan: aset itu ialah yang direkodkan oleh organisasi, klien memiliki kelayakan yang dikeluarkan untuknya, dan kelayakan itu dilindungi seperti yang dikehendaki oleh dasar. Menggabungkannya menjadi satu pemeriksaan ialah cara fail yang disalin dan kunci yang diklon terlepas.

Tiga dakwaan yang digabungkan menjadi satu

Rekod inventori menerangkan aset dan pemiliknya. Pendaftaran mengikat kelayakan yang sesuai dengan rekod itu. Semasa sambungan, VPN mengesahkan bukti yang dikehendaki oleh kaedah yang dikonfigurasikan. Nombor siri yang ditaip dalam borang pendaftaran tidak sepatutnya menerima kebenaran peranti itu secara automatik, kerana borang itu hanya membuktikan bahawa seseorang mengetahui nombor siri. Pisahkan tiga langkah dan setiap satu boleh diuji secara berasingan.

Fail penanda lebih buruk daripada nombor siri dalam satu aspek: menyalinnya mudah, dan setiap salinan kelihatan sama meyakinkan.

Lihat apa yang sebenarnya dikemukakan oleh peranti

Lihat kelayakan yang benar-benar disimpan oleh klien sebelum menganggapnya khusus untuk peranti.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Senarai itu menunjukkan sijil mesin mana yang wujud dan sama ada kunci persendirian hadir, iaitu perbezaan antara fail awam dan kelayakan yang boleh digunakan. Buangan stor menambah nama pembekal, dan pembekal perisian berbanding pembekal kripto platform ialah petunjuk pertama tentang di mana kunci tinggal. Sijil tanpa kunci persendiriannya tidak mengesahkan apa-apa, manakala kunci persendirian yang dieksport ke mesin lain menjadikan kelayakan itu mudah alih apa pun kata subjeknya. Catat cap jari dan pembekal dan bukannya nama paparan.

Perlindungan perkakasan memerlukan bukti

Sijil ialah maklumat awam, jadi soalan bermakna ialah di mana kunci persendirian tinggal dan sama ada perlindungan itu telah diatesti. Atestasi kunci TPM menerangkan pemohon yang membuktikan kepada pihak berkuasa sijil bahawa kunci dilindungi oleh TPM yang dipercayai, yang lebih kuat daripada menamakan pembekal perkakasan dalam permintaan. Ia juga seni bina dengan andaian kepercayaannya sendiri, bukan sesuatu yang klien VPN dayakan secara lalai. Sahkan apa yang diterima oleh pengeluar dan apa yang dikuatkuasakan oleh get laluan tentang kelayakan yang terhasil, kerana penyimpanan, atestasi dan dasar kemasukan ialah tiga komponen.

Kunci yang disokong perkakasan masih tidak mengatakan apa-apa tentang tahap tampalan, penugasan semasa atau cara sesi digunakan. Itu memerlukan kawalannya sendiri.

Jadikan penggantian dan penyingkiran konkrit

Rancang apa yang berlaku apabila peranti hilang, dibaiki, ditugaskan semula atau diganti. Perubahan papan induk atau stor kunci yang dipadamkan biasanya memerlukan pendaftaran semula yang disokong dan bukannya menyalin rahsia lama untuk meniru mesin asal. Catat aset, pengecam kelayakan, pemilik, keputusan pendaftaran dan peranan akses bersama-sama, supaya pentadbir seterusnya melihat apa yang tergolong kepada apa. Buang kebenaran yang benar-benar diterima oleh get laluan, kerana menukar status inventori tidak membuktikan apa-apa tentang kelayakan atau sesi yang sedia ada.

Kemudian uji sempadan: peranti yang diluluskan bersambung, label yang disalin sahaja tidak, dan identiti yang bersara berhenti berfungsi. Fail bernama approved kekal sebagai label sehingga proses yang dipercayai memberinya makna.