Oznake naprav niso poverilnice VPN: tri trditve, ki jih je treba ločiti

Imena gostiteljev, serijske številke in skrite označevalne datoteke pomagajo označiti prenosnik, in nobena od njih ne dokazuje, da je prenosnik, ki katero od njih predstavi, odobrena naprava. Dovoljenje sloni na treh ločenih trditvah: sredstvo je tisto, ki ga je organizacija zabeležila, odjemalec ima poverilnico, izdano zanj, in ta poverilnica je zaščitena, kot zahteva politika. Njihovo združevanje v eno preverjanje je pot, po kateri se prebijejo kopirane datoteke in klonirani ključi.

Tri trditve, združene v eno

Inventarni zapis opisuje sredstvo in njegovega lastnika. Vpis poveže ustrezno poverilnico s tem zapisom. Ob povezavi VPN preveri dokaz, ki ga zahteva njegova nastavljena metoda. Serijska številka, vnesena v prijavni obrazec, ne bi smela samodejno prejeti pooblastila te naprave, ker obrazec dokazuje le, da nekdo pozna serijsko številko. Ločite tri korake in vsakega je mogoče preizkusiti posebej.

Označevalna datoteka je v enem pogledu slabša od serijske številke: kopiranje je trivialno in vsaka kopija je videti enako prepričljiva.

Poglejte, kaj naprava v resnici predstavi

Poglejte poverilnico, ki jo odjemalec dejansko shrani, preden domnevate, da je značilna za napravo.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Seznam pokaže, katera potrdila stroja obstajajo in ali je zasebni ključ prisoten, kar je razlika med javno datoteko in uporabno poverilnico. Izpis shrambe doda ime ponudnika, in programski ponudnik proti platformskemu kriptoponudniku je prva sled, kje živi ključ. Potrdilo brez svojega zasebnega ključa ne overi ničesar, medtem ko zasebni ključ, izvožen na drug stroj, naredi poverilnico prenosljivo, karkoli že pravi njen subjekt. Zapišite prstni odtis in ponudnika namesto prikazanega imena.

Strojna zaščita potrebuje dokaze

Potrdilo je javna informacija, zato je smiselno vprašanje, kje živi zasebni ključ in ali je bila ta zaščita potrjena. Potrjevanje ključa TPM opisuje prosilca, ki potrditvenemu organu dokaže, da ključ varuje zaupanja vreden TPM, kar je močneje kot navesti strojnega ponudnika v zahtevi. To je tudi arhitektura z lastnimi predpostavkami zaupanja, ne nekaj, kar odjemalec VPN privzeto vklopi. Potrdite, kaj izdajatelj sprejme in kaj prehod zahteva glede nastale poverilnice, ker so shranjevanje, potrjevanje in politika dovoljenja tri sestavine.

Ključ s strojno podporo še vedno ne pove ničesar o ravni popravkov, trenutni dodelitvi ali o tem, kako se seja uporablja. To potrebuje svoje kontrole.

Naredite zamenjavo in odstranitev konkretni

Načrtujte, kaj se zgodi, ko se naprava izgubi, popravi, prerazporedi ali zamenja. Zamenjava matične plošče ali izbrisana shramba ključev običajno zahteva podprto ponovno vpisovanje, ne kopiranja starih skrivnosti za posnemanje izvirnega stroja. Zapišite sredstvo, identifikator poverilnice, lastnika, odločitev o vpisu in vlogo dostopa skupaj, da bo naslednji skrbnik videl, kaj spada k čemu. Odstranite pooblastilo, ki ga prehod dejansko sprejme, ker sprememba inventarnega statusa ničesar ne dokaže o obstoječi poverilnici ali seji.

Nato preizkusite mejo: odobrena naprava se poveže, samo kopirana oznaka ne, in upokojena identiteta preneha delovati. Datoteka z imenom approved ostane oznaka, dokler ji zanesljiv postopek ne da pomena.