Einingstikette er ikkje VPN-legitimasjon: tre påstandar som må skiljast

Vertnsamn, serienummer og skjulte markørfiler hjelper med å merke ein berbar datamaskin, og ingen av dei provar at den berbare maskina som syner fram ein av dei, er den godkjende eininga. Tilgang kviler på tre særskilde påstandar: at eigedelen er den organisasjonen registrerte, at klienten har legitimasjonen som vart gjeven ut for han, og at den legitimasjonen er verna slik retningslinja krev. Å slå dei saman til éin kontroll er måten kopierte filer og klona nøklar slepp gjennom på.

Tre påstandar som vert slegne saman til éin

Varelagerregistreringa skildrar eigedelen og eigaren. Påmelding knyter legitimasjon til denne registreringa. Ved tilkopling stadfester VPN-et beviset som den oppsette metoden krev. Eit serienummer som vert skrive inn i eit påmeldingsskjema, bør ikkje automatisk få autorisasjonen til den eininga, fordi skjemaet berre provar at nokon kjenner serienummeret. Skil dei tre trinna, og kvart av dei kan testast for seg.

Ei markørfil er verre enn eit serienummer på eitt punkt: å kopiere ho er trivielt, og kvar kopi ser like overtydande ut.

Sjå kva eininga faktisk syner fram

Sjå på legitimasjonen klienten faktisk lagrar, før du går ut frå at han er einingstilpassa.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Lista syner kva maskinsertifikat som finst, og om det er ein privat nøkkel til stades, som er skilnaden mellom ei open fil og ein brukande legitimasjon. Lagringsutskrifta legg til namnet på leverandøren, og ein programvareleverandør kontra ein plattformkryptoleverandør er det første hintet om kvar nøkkelen bur. Eit sertifikat utan sin private nøkkel autentiserer ingenting, medan ein privat nøkkel eksportert til ei anna maskin gjer legitimasjonen flyttbar same kva subjektet seier. Noter fingeravtrykket og leverandøren i staden for visingsnamnet.

Maskinvarevern krev bevis

Eit sertifikat er open informasjon, så det meiningsfulle spørsmålet er kvar den private nøkkelen bur, og om det vernet vart attestert. TPM-nøkkelattestering skildrar ein søkjar som provar overfor ein sertifikatstyresmakt at ein nøkkel er verna av ein klarert TPM, noko som er sterkare enn å namngje ein maskinvareleverandør i ein søknad. Det er også ein arkitektur med eigne tillitsføresetnader, ikkje noko ein VPN-klient slår på som standard. Stadfest kva utskrivaren godtek, og kva gatewayen handhevar om den resulterande legitimasjonen, fordi lagring, attestering og tilgangsretningslinje er tre komponentar.

Ein maskinvarestøtta nøkkel seier framleis ingenting om patchnivå, gjeldande tildeling eller korleis økta vert brukt. Det treng eigne kontrollar.

Gjer utskifting og fjerning konkret

Planlegg kva som skjer når ei eining vert borte, reparert, tildelt på nytt eller bytt ut. Eit hovudkortbyte eller eit sletta nøkkellager krev vanlegvis ei støtta ny påmelding i staden for å kopiere gamle løyndomar for å etterlikne den opphavlege maskina. Registrer eigedelen, legitimasjonsidentifikatoren, eigaren, påmeldingsavgjerda og tilgangsrolla saman, slik at neste administrator ser kva som høyrer til kva. Fjern autorisasjonen gatewayen faktisk godtek, fordi ei endring av varelagerstatus ikkje provar noko om ein eksisterande legitimasjon eller økt.

Test så grensa: ei godkjend eining koplar til, ei kopiert etikett åleine gjer det ikkje, og ein avvikla identitet sluttar å verke. Ei fil som heiter approved vert verande ei etikett til ein påliteleg prosess gjev ho meining.