Gelitaanka PIV ma ku guuldareystaa Windows EAP-TLS? Hubi dariiqa saxeexa

Muuji shahaadada kaadhka PIV ee gelitaan kasta oo Windows ah, gelitaanka VPN-na wali wuu guuldareysan karaa, sababtoo ah muuqashada iyo isticmaalka waa sifooyin kala duwan. Shahaadadu waa shay guud; gelitaanka wuxuu u baahan yahay hawlgalka furaha gaarka ah oo uu kaadhku ku sameeyo xeerarkiisa gelitaan. Labadaas xaqiiqo dhexdooda waxaa ku yaal afar marxaladood oo afar siyaabood oo kala duwan ku guuldareysta: xulashada borofaylka, xulashada shahaadada, saxeexa maxalliga ah iyo xaqiijinta dhinaca serverka. In si taxane ah loo maro waxay khalad gacan-qabsasho guud u beddelaysaa su'aal gaar ah qofka leh qaybta xigta.

Ku bilow borofaylka iyo habka EAP

Fur sifooyinka xiriirka oo akhri habka EAP ee borofaylku dhab ahaan isticmaalo, ka dibna akhri shahaadada habka loo habeeyay inuu doorto. Nashqado badan waxay leeyihiin hab dibadda oo shahaado ku saleysan iyo hab gudaha labadaba, shahaadada lagu habeeyay heerka xiriirka si toos ah ma aha tii lagu soo bandhigo gudaha EAP-TLS. Haddii borofaylku shahaado ku doorto soo-saare ama shaandheyn mawduuc, shaandheyntaas waxay ka doorataa waxa Windows ku arko kaydka la xiriira, ma aha waxa kaadhka si kadis ah u leeyahay. Shaandheyn aan waxba la mid ahayn waxay u leexataa codsi ama guuldareysi aamusan iyadoo ku xiran habeynta borofaylka, taasina waa sababta ay u qalanto in la diiwaangellyo faraha la doortay ka hor wax ka beddel kasta.

Sidoo kale hubi in xiriirku ku socdo isticmaalaha soo galay ama mishiinka. Xaqiiqadaas keliya ayaa go'aamisa kaydka shahaadooyinka ee ku jira xadka iyo qeybta amniga ee saxeexa fulisa.

Xaqiiji shahaadada la doortay

Isbarbar dhig faraha Windows doortay iyo shuruudda: isticmaalka xaqiijinta macmiilka, silsilad ku dhammaata xidid la aamini karo, aqoonsi ay siyaasadda serverka xaqiijintu khariidad u sameyso, iyo muddo ansax ah oo daboola waqtiga dhabta ah ee isku dayga. Kuwaani waa hubino gooni ah midda ugu dambeysana waxay qabataa yaabab ka badan inta dadku filaan, gaar ahaan shahaadooyin si wareeg ah loo soo saaro iyo borofaylal kayd ku jira oo wali tilmaamaya xulashada shalay.

Macnaha isticmaalaha iyo mishiinku waa qeybta kale ee hubinta. Shahaadada ku jirta kaydka gaarka ah ee isticmaalaha waxaa qarinaya adeeg ku socda mishiinka, shahaadada mishiinkana ma soo bandhigo isdhaafsiga EAP ee habka isticmaalaha haddii borofaylku sidaas odhan waayo. Dib u soo dejinta shahaado kayd khaldan waxay soo saartaa shahaado muuqata iyo aqoonsi gelitaan oo qarsoon. Akhri dariiqa kaydka ee borofaylka, ma aha tii ku jirtay daaqadda si kadis ah u furmay.

Tijaabi hawlgalka furaha adigoon qiyaasin PIN-ka

Marka xulashadu go'do, su'aashu waa in kaadhku saxeexa fuliyo iyo in kale. Windows wuxuu u baahan yahay bixiye kaadh ama minidriver la taageeray si uu u gaaro furaha gaarka ah, qalabkuna wuxuu hawlgalka ku dabaqaa xeerarkiisa PIN iyo joogitaan. Kaadh loo habeeyay inuu taabasho u baahan yahay saxeex kasta si ka duwan ayuu u dhaqmaa marka loo eego mid kaydiya xaqiijin fadhi, labaduna waa habeyn sharci ah oo beddela goorta codsi soo baxo. Farqigaas wuxuu sharraxaa gelitaan ku guuleysta marka si cusub loo geliyo oo ku guuldareysta ka dib soo kabasho, iyada oo aan shahaado khaldanayn.

certutil.exe -scinfo
certutil.exe -store -user My
Get-WinEvent -LogName Application -MaxEvents 40 | Where-Object ProviderName -like '*Ras*'

Amarka koowaad wuxuu liis dhigaa kaadhka oo wuxuu soo sheegaa xaaladda akhristaha iyo bixiyaha, taas oo ku qoran hagaha Microsoft ee cilad-baarka kaadhadhka smart-ka. Midda labaad waxay liis dhigtaa waxa macnaha isticmaaluhu dhab ahaan arki karo. Midna ma caddeyso xaqiijin guuleystay; labaduba way cidhiidhiyaan halka ay ku istaagtay.

Ha qiyaasin PIN-ka. Kaadhadhku waxay fuliyaan xadadka isku dayo, dhowr isku day oo rajo leh waxay dhibaato ogolaansho u beddelaan aqoonsi xiran oo u baahan soo kabasho maamuleed. Haddii saxeex maxalli ah guuldareysto, diiwaangeli xaaladda bixiyaha iyo xaaladda kaadhka halkii aad isku dayi lahayd noocyo kala duwan. Ku celi isku dayga hal mar isla borofaylka, isla shahaadada iyo dariiq akhriste la yaqaan oo wanaagsan, ka dib isbarbar dhig labada diiwaan; beddelaadda dhowr doorsoome hal mar waxay soo saartaa sheeko ma aha natiijo.

Akhri labada dhinac ee gacan-qabsashada

Saxeex dhammeystiran weli ma aha fasax. Serverka xaqiijintu waa inuu aqbalaa silsiladda, hubiyaa baabi'inta, khariidad u sameeyaa aqoonsiga xeerarkiisa hadda oo uu fasaxo codsiga; macmiilkuna waa inuu xaqiijiyaa shahaadada serverka sida borofaylku u baahan yahay. Digniin TLS oo uu serverku soo saaro waxay logga macmiilka uga muuqataa si la mid ah tan maxalli ahaan loo soo saaray, taasina waa sababta dhinaca soo saaray uu ka muhiimsan yahay qoraalka digniinta.

Soo aruuri dhacdooyinka Windows iyo dhacdooyinka dhinaca serverka oo leh calaamado waqti oo is waafaqsan, ka dib aqoonso dhinaca soo saaray guuldareysiga koowaad. RFC 5216 waxay qeexdaa tallaabada caddaynta lahaanshaha ee EAP-TLS, digniinta gacan-qabsasho guudna keligeed ma sheegto sabab fure maxalli ah. Isbarbardhigga calaamadaha waqtiga ayaa laba log ka dhigaya taxane.

Xadadka si toos ah ugu hay warbixinta

Qor warbixinta afar marxaladood oo mid kastaa leh hal go'aan: borofaylka iyo macnaha socday, shahaadada Windows doortay, in kaadhku saxeexay iyo waxa serverku go'aansaday. Qaabkaas wuxuu tallaabada xigta ka dhigaa mid cad oo ka hortagaa hagaajinta caadiga ah ee ah in la damiyo xaqiijinta si loo gudbo marxalad aan cidna aqoonsan.

Shahaado software ah oo isbarbardhig ku meel gaar ah waa imtixaan maamuleed sharci ah, laakiin waxay beddelaa qaabka aqoonsiga iyo dammaanadda, sidaas darteed waxay ku deelan tahay isbeddel la ansixiyay ee ma aha ka-wareeg aamusan oo wax soo saar ah. Isla edebtaas waxay khuseysaa isku dayada PIN iyo dib u soo saarista aqoonsiga ka hor inta aan la ogaan marxaladda guuldareysata. Kaadh beddel ah oo si isku mid ah u guuldareysta waa caddayn qaali ah in dhibaatadu aysan waligeed ku jirin kaadhka.