Štítky zariadení nie sú prihlasovacie údaje VPN: tri tvrdenia, ktoré treba oddeliť

Názvy hostiteľov, sériové čísla a skryté značkovacie súbory pomáhajú označiť notebook a žiadny z nich nedokazuje, že notebook, ktorý niektorý z nich predkladá, je schválené zariadenie. Prijatie stojí na troch oddelených tvrdeniach: aktívum je to, ktoré organizácia zaznamenala, klient vlastní prihlasovací údaj preň vydaný a tento údaj je chránený tak, ako to vyžaduje politika. Zlievanie do jednej kontroly je cesta, ktorou prechádzajú skopírované súbory a naklonované kľúče.

Tri tvrdenia, ktoré sa zlievajú do jedného

Inventárny záznam opisuje aktívum a jeho vlastníka. Zápis spája vhodný prihlasovací údaj s týmto záznamom. Pri pripojení VPN overuje dôkaz, ktorý vyžaduje jeho nakonfigurovaná metóda. Sériové číslo zadané do registračného formulára by nemalo automaticky získať oprávnenie daného zariadenia, pretože formulár dokazuje len to, že niekto sériové číslo pozná. Oddelte tri kroky a každý sa dá testovať samostatne.

Značkovací súbor je v jednom ohľade horší ako sériové číslo: skopírovať ho je triviálne a každá kópia vyzerá rovnako presvedčivo.

Pozrite sa, čo zariadenie skutočne predkladá

Pozrite sa na údaj, ktorý klient skutočne ukladá, skôr než predpokladáte, že je špecifický pre zariadenie.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Výpis ukazuje, ktoré certifikáty počítača existujú a či je prítomný súkromný kľúč, čo je rozdiel medzi verejným súborom a použiteľným údajom. Výpis úložiska pridáva názov poskytovateľa a softvérový poskytovateľ proti platformovému kryptografickému poskytovateľovi je prvá stopa, kde kľúč žije. Certifikát bez svojho súkromného kľúča nič neautentizuje, zatiaľ čo súkromný kľúč exportovaný na iný počítač robí údaj prenosným, nech už jeho subjekt hovorí čokoľvek. Zaznamenajte odtlačok a poskytovateľa namiesto zobrazovaného názvu.

Hardvérová ochrana potrebuje dôkazy

Certifikát je verejná informácia, takže zmysluplná otázka znie, kde žije súkromný kľúč a či bola táto ochrana atestovaná. Atestácia kľúčov TPM opisuje žiadateľa, ktorý certifikačnej autorite dokazuje, že kľúč je chránený dôveryhodným TPM, čo je silnejšie než uviesť v žiadosti hardvérového poskytovateľa. Je to aj architektúra s vlastnými predpokladmi dôvery, nie niečo, čo klient VPN predvolene zapína. Overte, čo vydavateľ prijíma a čo brána vyžaduje ohľadom výsledného údaja, pretože úložisko, atestácia a politika prijatia sú tri súčasti.

Kľúč s hardvérovou podporou stále nič nehovorí o úrovni záplat, aktuálnom priradení ani o tom, ako sa relácia používa. To si vyžaduje vlastné kontroly.

Urobte výmenu a odstránenie konkrétnymi

Naplánujte, čo sa stane, keď sa zariadenie stratí, opraví, preradí alebo vymení. Výmena základnej dosky alebo vymazané úložisko kľúčov zvyčajne vyžaduje podporovanú opätovnú registráciu, nie kopírovanie starých tajomstiev, aby napodobnilo pôvodný počítač. Zaznamenajte aktívum, identifikátor údaja, vlastníka, rozhodnutie o registrácii a prístupovú rolu spolu, aby ďalší správca videl, čo k čomu patrí. Odstráňte oprávnenie, ktoré brána skutočne prijíma, pretože zmena inventárneho stavu nič nedokazuje o existujúcom údaji ani relácii.

Potom otestujte hranicu: schválené zariadenie sa pripojí, samotný skopírovaný štítok nie a vyradená identita prestane fungovať. Súbor s názvom approved zostáva štítkom, kým mu dôveryhodný proces nedá význam.