Apparaatlabels zijn geen VPN-inloggegevens: drie beweringen om te scheiden

Hostnamen, serienummers en verborgen markeringsbestanden helpen een laptop te labelen, en geen ervan bewijst dat de laptop die er een toont het goedgekeurde apparaat is. Toelating berust op drie afzonderlijke beweringen: het goed is het goed dat de organisatie vastlegde, de client bezit het inloggegeven dat ervoor is uitgegeven, en dat inloggegeven is beschermd zoals het beleid vereist. Ze samenvoegen tot één controle is de manier waarop gekopieerde bestanden en gekloonde sleutels erdoor glippen.

Drie beweringen die tot één worden samengevoegd

Het inventarisrecord beschrijft het goed en de eigenaar. Inschrijving koppelt een passend inloggegeven aan dat record. Bij verbinding verifieert de VPN het bewijs dat de geconfigureerde methode vereist. Een serienummer dat in een inschrijfformulier wordt getypt, zou niet automatisch de autorisatie van dat apparaat moeten krijgen, omdat het formulier alleen bewijst dat iemand het serienummer kent. Scheid de drie stappen en elk ervan is afzonderlijk te testen.

Een markeringsbestand is in één opzicht slechter dan een serienummer: het kopiëren is triviaal, en elke kopie ziet er even overtuigend uit.

Kijk wat het apparaat werkelijk toont

Kijk naar het inloggegeven dat de client werkelijk opslaat voordat u aanneemt dat het apparaatspecifiek is.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

De lijst toont welke machinecertificaten bestaan en of er een privésleutel aanwezig is, wat het verschil is tussen een openbaar bestand en een bruikbaar inloggegeven. De dump van het archief voegt de naam van de provider toe, en een softwareprovider tegenover een platformcryptoprovider is de eerste aanwijzing waar de sleutel woont. Een certificaat zonder zijn privésleutel authenticeert niets, terwijl een privésleutel die naar een andere machine is geëxporteerd het inloggegeven overdraagbaar maakt wat het subject ook zegt. Noteer de vingerafdruk en de provider in plaats van de weergavenaam.

Hardwarebescherming vereist bewijs

Een certificaat is openbare informatie, dus de zinvolle vraag is waar de privésleutel woont en of die bescherming is geattesteerd. TPM-sleutelattestatie beschrijft een aanvrager die aan een certificaatautoriteit bewijst dat een sleutel door een vertrouwde TPM wordt beschermd, wat sterker is dan een hardwareprovider in een aanvraag noemen. Het is ook een architectuur met eigen vertrouwensveronderstellingen, niet iets wat een VPN-client standaard inschakelt. Bevestig wat de uitgever accepteert en wat de gateway afdwingt over het resulterende inloggegeven, want opslag, attestatie en toelatingsbeleid zijn drie componenten.

Een hardwaresleutel zegt nog steeds niets over het patchniveau, de huidige toewijzing of hoe de sessie wordt gebruikt. Dat vraagt om eigen controles.

Maak vervanging en verwijdering concreet

Plan wat er gebeurt als een apparaat verloren gaat, wordt gerepareerd, opnieuw wordt toegewezen of vervangen. Een moederbordwissel of een gewist sleutelarchief vereist meestal een ondersteunde herinschrijving in plaats van oude geheimen te kopiëren om de oorspronkelijke machine na te bootsen. Leg het goed, de identifier van het inloggegeven, de eigenaar, de inschrijvingsbeslissing en de toegangsrol samen vast, zodat de volgende beheerder ziet wat bij wat hoort. Verwijder de autorisatie die de gateway werkelijk accepteert, want het wijzigen van een inventarisstatus bewijst niets over een bestaand inloggegeven of een sessie.

Test daarna de grens: een goedgekeurd apparaat verbindt, een gekopieerd label alleen niet, en een uitgefaseerde identiteit werkt niet meer. Een bestand met de naam approved blijft een label tot een betrouwbaar proces er betekenis aan geeft.