Enhetsetiketter er ikke VPN-legitimasjon: tre påstander som må skilles

Vertsnavn, serienumre og skjulte markørfiler hjelper med å merke en bærbar datamaskin, og ingen av dem beviser at den bærbare maskinen som viser fram en av dem, er den godkjente enheten. Adgang hviler på tre separate påstander: at eiendelen er den organisasjonen registrerte, at klienten har legitimasjonen som ble utstedt for den, og at den legitimasjonen er beskyttet slik policyen krever. Å slå dem sammen til én kontroll er måten kopierte filer og klonede nøkler slipper gjennom på.

Tre påstander som slås sammen til én

Inventarregistreringen beskriver eiendelen og eieren. Påmelding knytter legitimasjon til denne registreringen. Ved tilkobling verifiserer VPN-et beviset som den konfigurerte metoden krever. Et serienummer som skrives inn i et påmeldingsskjema, bør ikke automatisk få autorisasjonen til den enheten, fordi skjemaet bare beviser at noen kjenner serienummeret. Skill de tre trinnene, og hvert av dem kan testes for seg.

En markørfil er verre enn et serienummer på ett punkt: å kopiere den er trivielt, og hver kopi ser like overbevisende ut.

Se hva enheten faktisk viser fram

Se på legitimasjonen klienten faktisk lagrer, før du antar at den er enhetsspesifikk.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Listen viser hvilke maskinsertifikater som finnes, og om det er en privat nøkkel til stede, som er forskjellen mellom en offentlig fil og en brukbar legitimasjon. Lagringsutskriften legger til leverandørnavnet, og en programvareleverandør kontra en plattformkryptoleverandør er det første hintet om hvor nøkkelen bor. Et sertifikat uten sin private nøkkel autentiserer ingenting, mens en privat nøkkel eksportert til en annen maskin gjør legitimasjonen flyttbar uansett hva subjektet sier. Noter fingeravtrykket og leverandøren i stedet for visningsnavnet.

Maskinvarebeskyttelse krever bevis

Et sertifikat er offentlig informasjon, så det meningsfulle spørsmålet er hvor den private nøkkelen bor, og om den beskyttelsen ble attestert. TPM-nøkkelattestering beskriver en anmoder som beviser overfor en sertifikatmyndighet at en nøkkel er beskyttet av en klarert TPM, noe som er sterkere enn å navngi en maskinvareleverandør i en anmodning. Det er også en arkitektur med egne tillitsforutsetninger, ikke noe en VPN-klient aktiverer som standard. Bekreft hva utstederen godtar, og hva gatewayen håndhever om den resulterende legitimasjonen, fordi lagring, attestering og adgangspolicy er tre komponenter.

En maskinvarestøttet nøkkel sier fortsatt ingenting om patchnivå, gjeldende tildeling eller hvordan økten brukes. Det trenger egne kontroller.

Gjør utskifting og fjerning konkret

Planlegg hva som skjer når en enhet mistes, repareres, tildeles på nytt eller byttes ut. En hovedkortbytte eller et slettet nøkkellager krever vanligvis en støttet ny påmelding i stedet for å kopiere gamle hemmeligheter for å etterligne den opprinnelige maskinen. Registrer eiendelen, legitimasjonsidentifikatoren, eieren, påmeldingsbeslutningen og tilgangsrollen sammen, slik at neste administrator ser hva som hører til hva. Fjern autorisasjonen gatewayen faktisk godtar, fordi en endring av inventarstatus ikke beviser noe om en eksisterende legitimasjon eller økt.

Test deretter grensen: en godkjent enhet kobler til, en kopiert etikett alene gjør det ikke, og en avviklet identitet slutter å virke. En fil som heter approved forblir en etikett til en pålitelig prosess gir den betydning.