په Windows EAP-TLS کې PIV ننوتل ناکامېږي؟ د لاسلیک کولو لاره وګورئ

د PIV کارت سند په هر Windows ډیالوګ کې وښیئ او VPN ننوتل بیا هم ناکامېدلی شي، ځکه چې ښکارېدنه او کارېدنه دوه جلا ځانګړنې دي۔ سند یو عام شی دی؛ ننوتل د شخصي کیلي هغه عملیه غواړي چې کارت د خپلو لاسرسي قواعدو له مخې ترسره کوي۔ د دغو دوو حقایقو ترمنځ څلور مرحلې دي چې په څلورو جلا طریقو ناکامېږي: د پروفایل ټاکل، د سند ټاکل، سیمه ییز لاسلیک او د سرور خوا تصدیق۔ په ترتیب سره یې وهل یوه عمومي د لاس اخوستنې تېروتنه د راتلونکې برخې مالک لپاره ځانګړې پوښتنې ته اړوي۔

د پروفایل او EAP طریقې څخه پیل وکړئ

د اړیکې ځانګړنې پرانیزئ او ولولئ چې پروفایل په حقیقت کې کومه EAP طریقه کاروي، بیا ولولئ چې هغه طریقه کوم سند د ټاکلو لپاره ترتیب شوې ده۔ ډېر ځایونه هم د سند پر بنسټ بهرنۍ طریقه او هم داخلي طریقه لري، او د اړیکې په کچه ترتیب شوی سند په خپله هغه نه وي چې د EAP-TLS دننه وړاندې کېږي۔ که پروفایل سند د خپرونکي یا د موضوع فلټر له مخې ټاکي، هغه فلټر له هغه څخه ټاکي چې Windows یې په اړوند ذخیره کې ویني، نه له هغه څخه چې ناڅاپه په کارت کې وي۔ هغه فلټر چې له هیچا سره سمون نه خوري، د پروفایل د ترتیب له مخې یوې غوښتنې یا یوې غلی ناکامۍ ته ځي، او له همدې کبله د هر بدلون دمخه ټاکل شوې ګوتې نښه ثبتول ګټور دي۔

همداسې وټاکئ چې اړیکه د ننوتلي کارونکي په توګه یا د ماشین په توګه ځي۔ همدا یوه حقیقت ټاکي چې کوم سند ذخیرې په حد کې دي او کوم امنیتي شالید لاسلیک کوي۔

تصدیق کړئ چې کوم سند وټاکل شو

د Windows ټاکل شوې ګوتې نښه له اړتیا سره پرتله کړئ: د کلاینټ تصدیق لپاره کارونه، هغه ځنځیر چې په باوري ریښه کې پای ته رسېږي، هغه هویت چې د تصدیق سرور پالیسي یې نقشه کوي، او هغه اعتبار موده چې د هڅې ریښتینی شیبه پوښي۔ دا جلا کتنې دي او وروستۍ یې د خلکو له تمې زیاتې حیرانتیاوې نیسي، په ځانګړي ډول د غلتېدونکې بیې پر بنسټ خپاره شوي سندونو او په کاش کې پروفایلونو سره چې لا هم پروننۍ ټاکنې ته اشاره کوي۔

د کارونکي او ماشین شالید د کتنې بل نیم دی۔ د کارونکي په شخصي ذخیره کې سند د ماشین په توګه روان خدمت لپاره ناليدلی وي، او د ماشین سند د کارونکي حالت EAP تبادله وړاندې نه کوي پرته لدې چې پروفایل یې ووایي۔ سند په غلطه ذخیره کې بیا واردول یو ښکارېدونکی سند او یو ناليدلی ننوتل سند جوړوي۔ په پروفایل کې د ذخیرې لاره ولولئ، نه هغه چې ناڅاپه پرانيستل شوې ډیالوګ کې وه۔

د PIN له اټکل پرته د کیلي عملیه وازموئ

کله چې ټاکنه معلومه شي، پوښتنه دا ده چې کارت به لاسلیک وکړي که نه۔ Windows د شخصي کیلي ته رسېدو لپاره ملاتړ شوی کارت چمتو کوونکی یا مایني ډرایور ته اړتیا لري، او وسیله پر عملیه خپل PIN او حضور قواعد پلي کوي۔ هغه کارت چې د هر لاسلیک لپاره لمس غواړي، د هغه کارت په پرتله چې د یوې ناستې لپاره تصدیق کاش کوي، بېل چلند کوي، او دواړه سم ترتیبات دي چې بدلوي چې غوښتنه کله ښکاره کېږي۔ همدا توپیر هغه ننوتل روښانه کوي چې په تازه ننوځای کې بریالي او د بیا راپاڅېدو وروسته ناکامېږي، پرته لدې چې کوم سند غلط وي۔

certutil.exe -scinfo
certutil.exe -store -user My
Get-WinEvent -LogName Application -MaxEvents 40 | Where-Object ProviderName -like '*Ras*'

لومړی فرمان کارت لیستوي او د لوستونکي او چمتو کوونکي حالت راپور کوي، چې په Microsoft د سمارټ کارت ډیبګ لارښود کې ثبت دی۔ دویم هغه څه لیستوي چې د کارونکي شالید یې په حقیقت کې لیدلی شي۔ هیڅ یو یې بریالی تصدیق ثابتوي نه؛ دواړه هغه ځای تنګوي چې چېرته ودرېد۔

PIN مه اټکل کوئ۔ کارتونه د بیا هڅو حدود پلي کوي، او څو هیلهمنې هڅې د اجازې ستونزه په بند شوي سند بدلوي چې اداري بیا رغونه غواړي۔ که سیمه ییز لاسلیک ناکام شي، د بېلابېلو بڼو هڅې کولو پر ځای د چمتو کوونکي حالت او د کارت حالت ثبت کړئ۔ هڅه یو ځل د هماغه پروفایل، هماغه سند او یوې پېژندل شوې ښې لوستونکې لارې سره تکرار کړئ، بیا دواړه ثبتونه پرتله کړئ؛ په یو وخت کې څو بدلونونه کول پایلې پر ځای یوه کیسه جوړوي۔

د لاس اخوستنې دواړه خواوې ولولئ

بشپړ شوی لاسلیک لا هم اجازه نه ده۔ د تصدیق سرور باید ځنځیر ومني، لغوه کول وګوري، هویت د خپلو اوسنیو قواعدو له مخې نقشه کړي او غوښتنه اجازه کړي؛ کلاینټ بیا باید د سرور سند هغسې تصدیق کړي لکه پروفایل غواړي۔ د سرور جوړه کړې TLS خبرداری د کلاینټ په ثبت کې هماغسې ښکاري لکه سیمه ییزه جوړه شوې، له همدې کبله یې د خبرداري متن په پرتله تولیدوونکی خوا مهم دی۔

د Windows پېښې او د سرور خوا پېښې د سم شوو وخت نښو سره راټولې کړئ، بیا وټاکئ چې کوم لوری لومړنۍ ناکامي پیدا کړه۔ RFC 5216 په EAP-TLS کې د ملکیت د ثبوت ګام بیانوي، او یو عمومي د لاس اخوستنې خبرداری په خپله کومه سیمه ییزه کیلي لامل نه نوموي۔ د وخت نښو پرتله کول هغه څه دي چې دوه ثبتونه په یو ترتیب اړوي۔

په راپور کې حدود سم وساتئ

راپور د څلورو مرحلو په توګه ولیکئ، هر یو ته یوه پریکړه: کوم پروفایل او شالید وګرځېد، Windows کوم سند وټاکه، کارت لاسلیک وکړ که نه، او سرور څه پریکړه وکړه۔ هغه جوړښت راتلونکی ګام ښکاره کوي او هغه عام ترمیم مخه نیسي چې د تصدیق بندول وي ترڅو له هغې مرحلې تېر شي چې چا نه ده پېژندلې۔

د لنډ مهاله پرتلې په توګه سافټویر سند یو سم اداري ازموینه ده، خو دا د سند او ډاډ ماډل بدلوي، نو د غلی تولیدي حل پر ځای په تصویب شوي بدلون کې ځای لري۔ هماغه نظم د PIN هڅو او د ناکامې مرحلې له پېژندلو دمخه د سندونو بیا خپرولو باندې پلي کېږي۔ هغه بدله کارت چې هماغسې ناکامېږي، دا ګران قیمت ثبوت دی چې ستونزه هیچېرې پر کارت نه وه۔