Visual Studio miyuu ku gaabisaa VPN oo keliya? Hubi CRL iyo OCSP

Visual Studio wuxuu guriga si caadi ah u bilaabmaa, ka dib isla laptop-ka wuxuu ku biiraa tunnel-ka shirkadda oo bilow kastaa wuxuu nus daqiiqad ku joogaa shaashadda bilowga. Ka saar siyaasadda oo dib u dhaca ayaa la tagaa; ka saar tunnel-ka oo isla waxaas ayaa dhaca. Labada aragtiba way saxan yihiin, sidaas darteed labada qaybood ayaa had iyo jeer is eedeeya. Su'aasha go'aanka leh waa in weydiinta la-qaadista shahaadada ay sugayso waddo uun tunnel-ku bixiyo, mise ma helayso midna.

Cabbir soo-jiidka, ma aha bilowga

Hal siyaasad WDAC, oo loo geeyay sida SiPolicy.p7b la saxeexay, ayaa go'aamisa sawirrada lagu ordi karo mishiinka. Daacadnimada koodhku waxay ansixisaa silsiladda saxeexa sawirka ka hor fulinta, ansixintaasna waxaa ku jiri kara su'aal la-qaadis. Jawaabtu waxay ku xiran tahay barta qaybinta CRL ama jawaab-celiyaha OCSP ee shahaadadu dhexdeeda ku sheegto.

Kuwani waa codsiyo shabakadeed caadi ah, sidaas darteed kharashkoodu wuxuu ku xiran yahay halka jawaab-celiyuhu joogo. Marka laga heli karo tunnel-ka oo keliya, ama magaciisa lagu xalliyo server-ka DNS ee ka dambeeya tunnel-ka oo keliya, ansixintu waxay sugaysaa ilaa tunnel-ku diyaar noqdo. Visual Studio marka uu bilaabmo wuxuu soo rartaa tiro badan oo isku-dubbarid iyo fidinno la saxeexay, dib u dhac yar oo sawir kastaa wuxuu noqdaa hakad la arki karo. Waxba ma xumaansana siyaasaddu waxay u dhaqantaa si sax ah sida loo habeeyay, sidaas darteed ka saarista siyaasadda waxay u muuqataa inay hagaajiso dhibaatada.

Sawir kasta oo la saxeexay wuxuu kiciyaa wicitaan shabakadeed

Ku bilow fayl binary ah oo la saxeexay oo horey disk-ka ugu jiray oo weydiiso madal inay ku xaqiijiso isla dhaqanka soo-jiidka ee bilowgu isticmaalo. Amarka ku ordi hal mar tunnel-ka iyo hal mar dibaddiisa, ka dib isbarbar dhig khadadka soo-jiidka halkii aad ka yeelan lahayd xukunka ugu dambeeya.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

Soo-saarista waxay taxdaa silsiladda, cinwaannada CRL iyo OCSP iyo in soo-jiid kastaa guulaystay. Jawaab-celiyaha tunnel-ka waqtigiisa ku dhamaada oo dibadda ka jawaaba waa caddaynta aad u baahan tahay, oo waxay ka culus tahay fikradda gaabis. Haddii soo-jiidku si gaabis ah u guulaysto, qor cinwaanka si tallaabada xigta ay toos u tijaabiso martidaas.

Xalli magaca martida jawaab-celiyaha oo tijaabi gaaritaanka barnaamijka dibaddiisa, sababtoo ah magac aan la xallin marnaba ma hagaajinayo dejinta macmiil. Diiwaanka hawlgalka CodeIntegrity wuxuu bixiyaa qaybta kale ee caddaynta, isagoo ku xiraya dhacdada ansixinta shaabadda waqtiga bilowga gaabiska ah.

Yaree dib u dhaca adigoon ka saarin xakamaynta

Dami siyaasadda ama u beddel qaabka hantida ayaa tirtira dib u dhaca oo ka saar xakamaynta ay hay'adu geysay, sidaas darteed u qaado tan hagaajin khaldan. Xulashooyinka cidhiidhi ah waa isbeddel marin ah si jawaab-celiyuhu u gaaro tunnel-ka, ka-reexan tunnel-ka qaybsan ee martida jawaab-celiyaha, sixid DNS marka magacu u xalliyo cinwaan aan la gaari karin, ama boroksi kayd ah oo la taageeray xogta la-qaadista. Mid kastaa wuxuu leeyahay mulkiile kala duwan: kooxda PKI waxay leedahay gaaritaanka jawaab-celiyaha, kooxda shabakaddu waxay leedahay qaybinta tunnel-ka, kooxda dhammaadkuna waxay leedahay siyaasadda.

Ka reebista marti kasta oo la-qaadis ah tunnel-ka si otomaatig ah ammaan ma aha, sababtoo ah jawaab-celiyaha gudaha wuxuu si ula kac ah u noqon karaa mid gudaha ah. La xaqiiji ka-reexanka kooxda maamusha PKI ka hor intaadan qorin sharci si aamusnaan u diraaya hubinta shahaadooyinka internet-ka dadweynaha. Isbeddel la sameeyay iyada oo aan lahayn xaqiijintaas waa nooca lagu celiyo cusboonaysiinta siyaasadda xigta.

Xaqiiji bilow qabow isbeddelka ka dib

Cabbir bilow qabow labada xaaladood oo hayso tirooyinka, sababtoo ah bilow diiran waxba ma caddeeyo marka isku-dubbaridku kaydka ku jiraan. Ku celi bilowga fadhi cusub si marinka soo-ridka fidinnada dib loogu tababaro.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Habaynta la hagaajiyay weli way la xidhiidhaa jawaab-celiyaha, ama waxay isticmaashaa marin kayd ah oo ay ansixisay kooxdaada PKI, diiwaankuna wuxuu muujinayaa ansixinta oo dhammaanaysa halkii waqti ku dhammaan lahaa. Xaqiiji in barnaamij dhawaan la saxeexay uu weli bilaabmo, sababtoo ah siyaasad wax walba oggolaanaysa ma aha hagaajin guul leh. Sidoo kale hubi gal-dhaqanka siyaasadda firfircoon iyo xaaladda fulinta, si loo ogaado in siyaasadda aad cilad-saarayso ay tahay tan socota. Hayso silsiladda shahaadada, cinwaanka jawaab-celiyaha iyo shaabadooyinka waqtiga bilowga isla tikidhka, sababtoo ah cusboonaysiintu waxay badanaa dhaqaajisaa jawaab-celiyaha oo ka tagtaa sharciga ka-reexanka ama DNS oo duugoobay.