Etiquetas de dispositivo não são credenciais VPN: três afirmações a separar

Os nomes de anfitrião, os números de série e os ficheiros marcadores ocultos ajudam a etiquetar um portátil, e nenhum deles prova que o portátil que apresenta um deles seja o dispositivo aprovado. A admissão assenta em três afirmações separadas: o ativo é o que a organização registou, o cliente possui a credencial emitida para ele, e essa credencial está protegida como a política exige. Fundi-las numa única verificação é a forma como ficheiros copiados e chaves clonadas passam.

Três afirmações fundidas numa

O registo de inventário descreve o ativo e o seu proprietário. A inscrição liga uma credencial adequada a esse registo. No momento da ligação, a VPN verifica a prova exigida pelo método configurado. Um número de série escrito num formulário de inscrição não deve receber automaticamente a autorização desse dispositivo, porque o formulário só prova que alguém conhece o número de série. Separe os três passos e cada um pode ser testado isoladamente.

Um ficheiro marcador é pior do que um número de série num aspeto: copiá-lo é trivial, e cada cópia parece igualmente convincente.

Veja o que o dispositivo apresenta realmente

Veja a credencial que o cliente armazena realmente antes de assumir que é específica do dispositivo.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

A listagem mostra que certificados de máquina existem e se está presente uma chave privada, o que é a diferença entre um ficheiro público e uma credencial utilizável. O despejo do armazém acrescenta o nome do fornecedor, e um fornecedor de software versus um fornecedor criptográfico de plataforma é a primeira pista sobre onde vive a chave. Um certificado sem a sua chave privada não autentica nada, enquanto uma chave privada exportada para outra máquina torna a credencial portátil diga o que disser o seu sujeito. Registe a impressão digital e o fornecedor em vez do nome apresentado.

A proteção de hardware exige provas

Um certificado é informação pública, pelo que a pergunta significativa é onde vive a chave privada e se essa proteção foi atestada. A atestação de chave TPM descreve um requerente que prova a uma autoridade de certificação que uma chave está protegida por um TPM fidedigno, o que é mais forte do que nomear um fornecedor de hardware num pedido. É também uma arquitetura com os seus próprios pressupostos de confiança, não algo que um cliente VPN ative por predefinição. Confirme o que o emissor aceita e o que o gateway impõe sobre a credencial resultante, porque armazenamento, atestação e política de admissão são três componentes.

Uma chave suportada por hardware continua a não dizer nada sobre o nível de correções, a atribuição atual ou a forma como a sessão é usada. Isso exige controlos próprios.

Torne a substituição e a remoção concretas

Planeie o que acontece quando um dispositivo se perde, é reparado, reatribuído ou substituído. Uma mudança de placa-mãe ou um armazém de chaves apagado exige normalmente uma reinscrição suportada em vez de copiar segredos antigos para imitar a máquina original. Registe o ativo, o identificador da credencial, o proprietário, a decisão de inscrição e o papel de acesso em conjunto, para que o próximo administrador veja o que pertence a quê. Remova a autorização que o gateway aceita realmente, porque alterar um estado de inventário não prova nada sobre uma credencial ou sessão existentes.

Depois teste o limite: um dispositivo aprovado liga-se, uma etiqueta copiada sozinha não, e uma identidade retirada deixa de funcionar. Um ficheiro chamado approved continua a ser uma etiqueta até um processo fiável lhe dar significado.