Etichetele de dispozitiv nu sunt acreditări VPN: trei afirmații de separat

Numele de gazdă, numerele de serie și fișierele marcator ascunse ajută la etichetarea unui laptop, iar niciunul dintre ele nu dovedește că laptopul care prezintă unul este dispozitivul aprobat. Admiterea se bazează pe trei afirmații separate: activul este cel înregistrat de organizație, clientul deține acreditarea emisă pentru el, iar acea acreditare este protejată așa cum cere politica. Fuzionarea lor într-o singură verificare este calea pe care trec fișierele copiate și cheile clonate.

Trei afirmații fuzionate într-una

Înregistrarea de inventar descrie activul și proprietarul său. Înscrierea leagă o acreditare potrivită de acea înregistrare. La conectare, VPN-ul verifică dovada cerută de metoda configurată. Un număr de serie tastat într-un formular de înscriere nu ar trebui să primească automat autorizarea acelui dispozitiv, deoarece formularul dovedește doar că cineva cunoaște numărul de serie. Separați cei trei pași și fiecare poate fi testat separat.

Un fișier marcator este mai rău decât un număr de serie într-o privință: copierea lui este trivială, iar fiecare copie pare la fel de convingătoare.

Priviți ce prezintă de fapt dispozitivul

Priviți acreditarea pe care clientul o stochează efectiv înainte de a presupune că este specifică dispozitivului.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Lista arată ce certificate de mașină există și dacă este prezentă o cheie privată, ceea ce este diferența dintre un fișier public și o acreditare utilizabilă. Descărcarea depozitului adaugă numele furnizorului, iar un furnizor de software versus un furnizor criptografic de platformă este primul indiciu despre unde locuiește cheia. Un certificat fără cheia sa privată nu autentifică nimic, în timp ce o cheie privată exportată pe altă mașină face acreditarea portabilă orice ar spune subiectul ei. Înregistrați amprenta și furnizorul în locul numelui afișat.

Protecția hardware necesită dovezi

Un certificat este informație publică, așa că întrebarea semnificativă este unde locuiește cheia privată și dacă acea protecție a fost atestată. Atestarea cheii TPM descrie un solicitant care dovedește unei autorități de certificare că o cheie este protejată de un TPM de încredere, ceea ce este mai puternic decât să numești un furnizor de hardware într-o cerere. Este și o arhitectură cu propriile ipoteze de încredere, nu ceva ce un client VPN activează implicit. Confirmați ce acceptă emitentul și ce impune gateway-ul cu privire la acreditarea rezultată, deoarece stocarea, atestarea și politica de admitere sunt trei componente.

O cheie susținută de hardware tot nu spune nimic despre nivelul de patch-uri, alocarea curentă sau modul în care este folosită sesiunea. Acestea au nevoie de propriile controale.

Faceți înlocuirea și eliminarea concrete

Planificați ce se întâmplă când un dispozitiv se pierde, este reparat, realocat sau înlocuit. O schimbare de placă de bază sau un depozit de chei șters necesită de obicei o reînscriere acceptată, nu copierea unor secrete vechi pentru a imita mașina originală. Înregistrați activul, identificatorul acreditării, proprietarul, decizia de înscriere și rolul de acces împreună, astfel încât următorul administrator să vadă ce aparține cui. Eliminați autorizarea pe care gateway-ul o acceptă efectiv, deoarece schimbarea unui status de inventar nu dovedește nimic despre o acreditare sau o sesiune existentă.

Apoi testați limita: un dispozitiv aprobat se conectează, o etichetă copiată singură nu, iar o identitate retrasă încetează să funcționeze. Un fișier numit approved rămâne o etichetă până când un proces de încredere îi dă sens.