Etiketat e pajisjes nuk janë kredenciale VPN: tri pretendime për t'u ndarë

Emrat e hosteve, numrat serialë dhe skedarët e fshehur të shënjuesve ndihmojnë të etiketohet një laptop, dhe asnjë prej tyre nuk provon se laptopi që paraqet një prej tyre është pajisja e miratuar. Pranimi mbështetet në tri pretendime të ndara: aktivi është ai që organizata regjistroi, klienti zotëron kredencialin e lëshuar për të, dhe ai kredencial është i mbrojtur siç kërkon politika. Bashkimi i tyre në një kontroll të vetëm është rruga nëpër të cilën kalojnë skedarët e kopjuar dhe çelësat e klonuar.

Tri pretendime që bashkohen në një

Regjistri i inventarit përshkruan aktivin dhe pronarin e tij. Regjistrimi lidh një kredencial të përshtatshëm me atë regjistër. Në kohën e lidhjes, VPN verifikon provën që kërkon metoda e konfiguruar. Një numër serial i shtypur në një formular regjistrimi nuk duhet të marrë automatikisht autorizimin e asaj pajisjeje, sepse formulari provon vetëm se dikush e njeh numrin serial. Ndani tri hapat dhe secili mund të testohet më vete.

Një skedar shënjues është më i keq se një numër serial në një aspekt: kopjimi i tij është i parëndësishëm, dhe çdo kopje duket njësoj bindëse.

Shihni çfarë paraqet vërtet pajisja

Shihni kredencialin që klienti ruan vërtet përpara se të supozoni se është specifik për pajisjen.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Lista tregon cilat certifikata makine ekzistojnë dhe nëse është i pranishëm një çelës privat, që është ndryshimi midis një skedari publik dhe një kredenciali të përdorshëm. Shkarkimi i depove shton emrin e ofruesit, dhe një ofrues softueri kundrejt një ofruesi kriptografik platforme është indicja e parë se ku jeton çelësi. Një certifikatë pa çelësin e saj privat nuk vërteton asgjë, ndërsa një çelës privat i eksportuar në një makinë tjetër e bën kredencialin të transportueshëm çfarëdo që thotë subjekti i tij. Regjistroni gjurmën e gishtit dhe ofruesin në vend të emrit të shfaqur.

Mbrojtja e harduerit kërkon prova

Një certifikatë është informacion publik, kështu që pyetja kuptimplote është ku jeton çelësi privat dhe nëse ajo mbrojtje u attestua. Attestimi i çelësit TPM përshkruan një kërkues që provon ndaj një autoriteti certifikimi se një çelës mbrohet nga një TPM i besuar, gjë që është më e fortë sesa të përmendësh një ofrues hardueri në një kërkesë. Është gjithashtu një arkitekturë me supozimet e veta të besimit, jo diçka që një klient VPN e aktivizon si parazgjedhje. Konfirmoni çfarë pranon lëshuesi dhe çfarë imponon porta për kredencialin që rezulton, sepse ruajtja, attestimi dhe politika e pranimit janë tri komponentë.

Një çelës i mbështetur nga hardueri ende nuk thotë asgjë për nivelin e patch-eve, caktimin aktual ose mënyrën se si përdoret sesioni. Ato kërkojnë kontrolle të tyre.

Bëni zëvendësimin dhe heqjen konkretë

Planifikoni çfarë ndodh kur një pajisje humbet, riparohet, ricaktohet ose zëvendësohet. Një ndryshim i pllakës amë ose një depo çelësash e fshirë zakonisht kërkon një rirregjistrim të mbështetur në vend të kopjimit të sekreteve të vjetra për të imituar makinën origjinale. Regjistroni aktivin, identifikuesin e kredencialit, pronarin, vendimin e regjistrimit dhe rolin e aksesit së bashku, në mënyrë që administratori tjetër të shohë çfarë i përket kujt. Hiqni autorizimin që porta pranon vërtet, sepse ndryshimi i statusit të inventarit nuk provon asgjë për një kredencial ose sesion ekzistues.

Pastaj provoni kufirin: një pajisje e miratuar lidhet, një etiketë e kopjuar vetëm nuk lidhet, dhe një identitet i tërhequr nga qarkullimi ndalon së punuari. Një skedar i quajtur approved mbetet një etiketë derisa një proces i besueshëm t'i japë kuptim.