Visual Studio bil-mod biss fil-VPN? Iċċekkja CRL u OCSP

Visual Studio jibda normalment id-dar, imbagħad l-istess laptop jingħaqad mal-mina korporattiva u kull tidlaq toqgħod nofs minuta fuq l-iskrin tal-bidu. Neħħi l-politika u d-dewmien imur magħha; neħħi l-mina u jiġri l-istess. Iż-żewġ osservazzjonijiet huma eżatti, għalhekk iż-żewġ komponenti jibqgħu jakkużaw lil xulxin. Il-mistoqsija deċiżiva hija jekk mistoqsija ta' revoka taċ-ċertifikat tistenniex mogħdija li toffri biss il-mina, jew ma ssib xejn.

Kejjel it-tiġbid, mhux it-tidlaq

Politika WDAC, skjerata bħala SiPolicy.p7b iffirmat, tiddeċiedi liema immaġini jistgħu jaħdmu fuq il-magna. L-integrità tal-kodiċi tivvalida l-katina tal-firem ta' immaġini qabel l-eżekuzzjoni, u dik il-validazzjoni tista' tinkludi mistoqsija ta' revoka. It-tweġiba tiddependi mill-punt tad-distribuzzjoni tal-CRL jew mir-risponditur OCSP li ċ-ċertifikat isemmi fih innifsu.

Dawn huma talbiet tan-netwerk ordinarji, għalhekk l-ispiża tagħhom tiddependi minn fejn jinsab ir-risponditur. Meta jkun aċċessibbli biss permezz tal-mina, jew ismu jiġi riżolt biss permezz ta' server DNS wara l-mina, il-validazzjoni tistenna li l-mina tkun lesta. Visual Studio jgħabbi fil-bidu numru kbir ta' assemblies u estensjonijiet iffirmati, u dewmien żgħir għal kull immaġini jsir waqfien viżibbli. Xejn mhu ħażin u l-politika taġixxi eżattament kif ikkonfigurata, għalhekk jidher li t-tneħħija tal-politika tissewwi l-problema.

Kull immaġini iffirmata tista' tqanqal sejħa tan-netwerk

Ibda b'binarju iffirmat li diġà jinsab fuq id-diska u itlob lill-pjattaforma tivverifikah bl-istess imġieba tat-tiġbid li tuża tidlaq. Mexxi l-kmand darba fuq il-mina u darba barra minnha, imbagħad qabbel il-linji tat-tiġbid minflok il-verdett finali.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

L-output jelenka l-katina, l-indirizzi CRL u OCSP u jekk kull tiġbid irnexxiex. Risponditur li jispiċċa l-ħin fuq il-mina u jwieġeb barra minnha huwa l-prova li għandek bżonn, u tiżen ħafna aktar minn impressjoni ta' dewmien. Jekk it-tiġbid jirnexxi bil-mod, innota l-indirizz sabiex il-pass li jmiss ikun jista' jittestja dak il-host direttament.

Irriżolvi l-isem tal-host tar-risponditur u ttestja l-aċċessibbiltà barra l-applikazzjoni, għax isem li ma jiġix riżolt qatt mhu se jiġi msewwi minn xi setting tal-klijent. Ir-reġistru operattiv ta' CodeIntegrity jipprovdi n-nofs l-ieħor tal-prova, u jgħaqqad avveniment ta' validazzjoni mat-timestamp tat-tidlaq bil-mod.

Qassar id-dewmien mingħajr ma tneħħi l-kontroll

It-tifi tal-politika jew it-tibdil tagħha għall-mod ta' verifika jneħħi d-dewmien u jneħħi l-kontroll li skjerat l-organizzazzjoni, għalhekk ikkunsidra dan bħala t-tiswija ħażina. L-għażliet idjaq huma bidla fl-irrotar sabiex ir-risponditur ikun aċċessibbli permezz tal-mina, eċċezzjoni fil-mina maqsuma għall-hosts tar-risponditur, korrezzjoni tad-DNS meta l-isem jiġi riżolt għal indirizz li ma jintlaħaqx, jew proxy tal-cache appoġġjat għad-data tar-revoka. Kull waħda għandha sid differenti: it-tim tal-PKI jippossjedi l-aċċessibbiltà tar-risponditur, it-tim tan-netwerk jippossjedi l-qsim tal-mina u t-tim tal-endpoint jippossjedi l-politika.

L-esklużjoni ta' kull host tar-revoka mill-mina mhijiex awtomatikament sigura, għax risponditur intern jista' jkun intern apposta. Ikkonferma l-esklużjoni mat-tim li jmexxi l-PKI qabel ma tikteb regola li tibgħat il-verifiki taċ-ċertifikati bil-kwiet lejn l-internet pubbliku. Bidla magħmula mingħajr dik il-konferma hija tat-tip li tiġi rtirata fl-aġġornament tal-politika li jmiss.

Ivverifika bidu kiesaħ wara l-bidla

Kejjel bidu kiesaħ fiż-żewġ stati u żomm in-numri, għax bidu sħun kważi ma jipprovax xejn ladarba l-assemblies ikunu fil-cache. Erġa' agħmel it-tidlaq minn sessjoni ġdida sabiex il-mogħdija tat-tagħbija tal-estensjonijiet terġa' tiġi eżerċitata.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Konfigurazzjoni msewwija xorta tikkuntattja r-risponditur, jew tuża mogħdija tal-cache approvata mit-tim tal-PKI tiegħek, u r-reġistru juri l-validazzjoni titlesta minflok tispiċċa l-ħin. Ikkonferma li applikazzjoni ffirmata dan l-aħħar xorta tidlaq, għax politika li tippermetti kollox mhijiex tiswija b'suċċess. Iċċekkja wkoll il-folder tal-politika attiva u l-istat tal-infurzar, sabiex ikun magħruf li l-politika li qed tiddenubba hija dik li qed taħdem. Żomm il-katina taċ-ċertifikati, l-indirizz tar-risponditur u t-timestamps tat-tidlaq fl-istess ticket, għax tiġdid normalment iċaqlaq ir-risponditur u jħalli r-regola tal-eċċezzjoni jew tad-DNS skaduta.