Etykiety urządzeń to nie dane logowania VPN: trzy twierdzenia do rozdzielenia

Nazwy hostów, numery seryjne i ukryte pliki znaczników pomagają oznaczyć laptopa, i żadne z nich nie dowodzi, że laptop, który je przedstawia, jest zatwierdzonym urządzeniem. Dopuszczenie opiera się na trzech osobnych twierdzeniach: zasób jest tym, który zapisała organizacja, klient posiada dane logowania wydane dla niego, a te dane są chronione tak, jak wymaga tego polityka. Zlewanie ich w jedną kontrolę to droga, którą przechodzą skopiowane pliki i sklonowane klucze.

Trzy twierdzenia zlewane w jedno

Rekord inwentarza opisuje zasób i jego właściciela. Rejestracja wiąże odpowiednie dane logowania z tym rekordem. W momencie połączenia VPN weryfikuje dowód wymagany przez skonfigurowaną metodę. Numer seryjny wpisany w formularz rejestracji nie powinien automatycznie otrzymywać upoważnienia tego urządzenia, ponieważ formularz dowodzi jedynie, że ktoś zna numer seryjny. Rozdziel trzy kroki, a każdy z nich można sprawdzić osobno.

Plik znacznika jest pod jednym względem gorszy od numeru seryjnego: skopiowanie go jest trywialne, a każda kopia wygląda równie przekonująco.

Zobacz, co urządzenie naprawdę przedstawia

Spójrz na dane logowania, które klient faktycznie przechowuje, zanim uznasz, że są specyficzne dla urządzenia.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Lista pokazuje, jakie certyfikaty maszyny istnieją i czy obecny jest klucz prywatny, co jest różnicą między plikiem publicznym a użytecznymi danymi logowania. Zrzut magazynu dodaje nazwę dostawcy, a dostawca oprogramowania wobec dostawcy kryptografii platformy to pierwsza wskazówka, gdzie mieszka klucz. Certyfikat bez swojego klucza prywatnego niczego nie uwierzytelnia, natomiast klucz prywatny wyeksportowany na inną maszynę czyni dane logowania przenośnymi, cokolwiek mówi jego podmiot. Zapisz odcisk palca i dostawcę zamiast nazwy wyświetlanej.

Ochrona sprzętowa wymaga dowodów

Certyfikat jest informacją publiczną, więc sensowne pytanie brzmi, gdzie mieszka klucz prywatny i czy ta ochrona została poświadczona. Poświadczenie klucza TPM opisuje wnioskodawcę, który dowodzi urzędowi certyfikacji, że klucz jest chroniony przez zaufany TPM, co jest silniejsze niż wskazanie dostawcy sprzętu we wniosku. To także architektura z własnymi założeniami zaufania, a nie coś, co klient VPN włącza domyślnie. Potwierdź, co akceptuje wystawca i co brama wymusza w odniesieniu do wynikowych danych logowania, ponieważ przechowywanie, poświadczenie i polityka dopuszczenia to trzy elementy.

Klucz oparty na sprzęcie nadal nic nie mówi o poziomie poprawek, bieżącym przypisaniu ani o sposobie użycia sesji. To wymaga własnych kontroli.

Uczyń wymianę i usunięcie konkretnymi

Zaplanuj, co się dzieje, gdy urządzenie zostanie zgubione, naprawione, przydzielone ponownie lub wymienione. Wymiana płyty głównej lub wyczyszczony magazyn kluczy zwykle wymaga wspieranej ponownej rejestracji, a nie kopiowania starych sekretów, by naśladować oryginalną maszynę. Zapisz zasób, identyfikator danych logowania, właściciela, decyzję rejestracyjną i rolę dostępu razem, aby następny administrator widział, co do czego należy. Usuń upoważnienie, które brama faktycznie akceptuje, ponieważ zmiana statusu inwentarza niczego nie dowodzi w kwestii istniejących danych logowania ani sesji.

Następnie sprawdź granicę: zatwierdzone urządzenie się łączy, sama skopiowana etykieta nie, a wycofana tożsamość przestaje działać. Plik o nazwie approved pozostaje etykietą, dopóki zaufany proces nie nada mu znaczenia.