Il-login PIV jonqos fuq Windows EAP-TLS? Iċċekkja l-perkors tal-firem

Uri ċ-ċertifikat tal-kard PIV f'kull dialog ta' Windows u l-login tal-VPN xorta jista' jonqos, għax viżibbiltà u użabbiltà huma proprjetajiet differenti. Iċ-ċertifikat huwa oġġett pubbliku; il-login jeħtieġ operazzjoni ta' ċavetta privata li ssir mill-kard taħt ir-regoli tal-aċċess tagħha stess. Bejn dawn iż-żewġ fatti hemm erba' stadji li jonqsu b'erba' modi differenti: għażla tal-profil, għażla taċ-ċertifikat, firma lokali u validazzjoni fuq in-naħa tas-server. Li tgħaddihom flimkien fl-ordni jibdel żball ġeneriku ta' handshake fi mistoqsija speċifika għal min jippossjedi l-biċċa li jmiss.

Ibda mill-profil u l-metodu EAP

Iftaħ il-proprjetajiet tal-konnessjoni u aqra liema metodu EAP il-profil fil-fatt juża, imbagħad aqra liema ċertifikat il-metodu huwa konfigurat biex jagħżel. Ħafna installazzjonijiet għandhom kemm metodu ta' barra bbażat fuq iċ-ċertifikat kif ukoll metodu ta' ġewwa, u ċertifikat konfigurat fil-livell tal-konnessjoni mhuwiex awtomatikament dak ippreżentat ġewwa EAP-TLS. Jekk il-profil jagħżel ċertifikat skont il-ħarriġ jew skont filtru tas-suġġett, dak il-filtru jagħżel minn dak li Windows jista' jara fil-maħżen rilevanti, mhux minn dak li l-kard ikollha b'kumbinazzjoni. Filtru li ma jaqbel ma' xejn jaqa' lura fuq talba jew fuq falliment sieket skont il-konfigurazzjoni tal-profil, u għalhekk il-marka tas-swaba' magħżula tajjeb li tiġi rreġistrata qabel kwalunkwe tibdil.

Stabbilixxi wkoll jekk il-konnessjoni taħdimx bħala l-utent illoggjat jew bħala l-magna. Dak il-fatt wieħed jiddeċiedi liema maħżen taċ-ċertifikati huma fl-ambitu u liema kuntest ta' sigurtà jwettaq il-firma.

Ikkonferma liema ċertifikat intgħażel

Qabbel il-marka tas-swaba' li għażel Windows mar-rekwiżit: użu għall-awtentikazzjoni tal-klijent, katina li tintemm f'għerq affidat, identità li l-politika tas-server tal-awtentikazzjoni timmappja, u perjodu ta' validità li jkopri l-mument attwali tal-attentat. Dawk huma verifiki separati u l-aħħar waħda taqbad aktar sorpriżi milli jistennew in-nies, speċjalment b'ċertifikati maħruġa b'mod rolling u profili fil-cache li għadhom jindikaw l-għażla ta' bieraħ.

Il-kuntest tal-utent u tal-magna huwa n-nofs l-ieħor tal-verifika. Ċertifikat fil-maħżen personali tal-utent huwa inviżibbli għal servizz li jaħdem bħala l-magna, u ċertifikat tal-magna mhuwiex ippreżentat minn skambju EAP fil-mod utent sakemm il-profil ma jgħidx hekk. L-importazzjoni mill-ġdid ta' ċertifikat fil-maħżen ħażin tipproduċi ċertifikat viżibbli u kredenzjali tal-login inviżibbli. Aqra l-perkors tal-maħżen fil-profil, mhux dak fid-dialog li nfetaħ b'kumbinazzjoni.

Ittestja l-operazzjoni taċ-ċavetta mingħajr ma taqta' l-PIN

Ladarba l-għażla tiġi stabbilita, il-mistoqsija hija jekk il-kard se twettaqx il-firma. Windows jeħtieġ provider tal-kard jew minidriver appoġġjat biex jasal għaċ-ċavetta privata, u l-apparat japplika r-regoli tiegħu tal-PIN u tal-preżenza għall-operazzjoni. Kard konfigurat biex jeħtieġ mess għal kull firma jġib ruħu b'mod differenti minn wieħed li jaħżen verifika għal sessjoni, u t-tnejn huma konfigurazzjonijiet leġittimi li jbiddlu meta tidher talba. Dik id-differenza tispjega login li jirnexxi fuq inserzjoni friska u jonqos wara resume, mingħajr ebda ċertifikat ma jkun ħażin.

certutil.exe -scinfo
certutil.exe -store -user My
Get-WinEvent -LogName Application -MaxEvents 40 | Where-Object ProviderName -like '*Ras*'

L-ewwel kmand jinvestiga l-kard u jirrapporta l-istat tal-qarrej u tal-provider, li huwa ddokumentat fil-gwida ta' Microsoft għad-dibagg tal-kards intelliġenti. It-tieni jelenka dak li l-kuntest tal-utent fil-fatt jista' jara. L-ebda waħda ma tipprova awtentikazzjoni b'suċċess; it-tnejn jissikkaw il-post fejn waqfet.

Taqtax il-PIN bl-addoċċ. Il-kards jinfurzaw limiti tal-attentati, u ftit attentati ottimisti jibdlu problema ta' permessi fi kredenzjali mblukkat li jeħtieġ irkupru amministrattiv. Jekk firma lokali tonqos, ġib l-istat tal-provider u tal-kard minflok tipprova varjanti. Irrepeti l-attentat darba bl-istess profil, l-istess ċertifikat u perkors tal-qarrej magħruf tajjeb, imbagħad qabbel iż-żewġ rekords; li tbiddel diversi varjabbli f'daqqa tipproduċi storja mhux riżultat.

Aqra ż-żewġ naħat tal-handshake

Firma kompluta għadha mhix ammissjoni. Is-server tal-awtentikazzjoni għandu jaċċetta l-katina, jiċċekkja r-revoka, jimmappja l-identità taħt ir-regoli attwali tiegħu u jawtorizza t-talba; il-klijent wara għandu jivvalida ċ-ċertifikat tas-server kif jeħtieġ il-profil. Twissija TLS iġġenerata mis-server tidher identika fil-log tal-klijent għal waħda ġġenerata lokalment, u għalhekk in-naħa li temettiha tiswa aktar mit-test tat-twissija.

Iġbor l-avvenimenti ta' Windows u dawk tan-naħa tas-server bi timestamp allinjati, imbagħad identifika liema naħa pproduċiet l-ewwel falliment. RFC 5216 jiddeskrivi l-pass tal-prova tal-pussess fl-EAP-TLS, u twissija ġenerika ta' handshake ma ssemmi waħedha l-ebda kawża lokali taċ-ċavetta. Il-paragun tat-timestamp huwa dak li jbiddel żewġ logs f'sekwenza.

Żomm il-konfini dritti fir-rapport

Ikteb ir-rapport bħala erba' stadji b'verdett wieħed kull wieħed: liema profil u kuntest ħadmu, liema ċertifikat għażel Windows, jekk il-kard iffirmatx, u x'iddeċieda s-server. Dik l-istruttura tagħmel il-pass li jmiss ovvju u tipprevjeni t-tiswija komuni li tiddiżattiva l-validazzjoni biex tgħaddi minn stadju li ħadd ma identifika.

Ċertifikat tas-software bħala paragun temporanju huwa test amministrattiv leġittimu, imma jbiddel il-kredenzjali u l-mudell ta' assigurazzjoni, u għalhekk jappartjeni għal bidla approvata minflok għal soluzzjoni siekta fil-produzzjoni. L-istess dixxiplina tapplika għall-attentati tal-PIN u għall-ħruġ mill-ġdid tal-kredenzjali qabel ma jkun magħruf l-istadju li jonqos. Kard ta' sostituzzjoni li jonqos bl-istess mod hija evidenza għalja li l-problema qatt ma kienet fuq il-kard.