Visual Studio i ngadaltë vetëm në VPN? Kontrolloni CRL dhe OCSP

Visual Studio niset normalisht në shtëpi, më pas i njëjti laptop lidhet me tunelin e korporatës dhe çdo nisje qëndron gjysmë minute në ekranin e nisjes. Hiqni politikën dhe vonesa ikën bashkë me të; hiqni tunelin dhe ndodh e njëjta gjë. Të dyja vëzhgimet janë të sakta, prandaj dy komponentët fajësojnë vazhdimisht njëri-tjetrin. Pyetja vendimtare është nëse një kërkesë revokimi certifikate pret një rrugë që e ofron vetëm tuneli, apo nuk gjen asnjë.

Matni marrjen, jo nisjen

Një politikë WDAC, e vendosur si SiPolicy.p7b i nënshkruar, vendos cilat imazhe mund të ekzekutohen në makinë. Integriteti i kodit vërteton zinxhirin e nënshkrimeve të një imazhi përpara ekzekutimit, dhe ai vërtetim mund të përfshijë një pyetje revokimi. Përgjigja varet nga pika e shpërndarjes CRL ose nga përgjigjësi OCSP që certifikata emërton brenda vetes.

Këto janë kërkesa të zakonshme rrjeti, prandaj kostoja e tyre varet nga vendndodhja e përgjigjësit. Kur ai është i arritshëm vetëm përmes tunelit, ose emri i tij zgjidhet vetëm përmes një serveri DNS pas tunelit, vërtetimi pret që tuneli të jetë gati. Visual Studio në nisje ngarkon një numër të madh assembly-sh dhe shtesash të nënshkruara, dhe një vonesë e vogël për imazh bëhet një ndalesë e dukshme. Asgjë nuk është e dëmtuar dhe politika sillet saktësisht siç është konfiguruar, prandaj heqja e politikës duket se e rregullon problemin.

Çdo imazh i nënshkruar mund të shkaktojë një thirrje rrjeti

Filloni me një binar të nënshkruar që ndodhet tashmë në disk dhe kërkojini platformës ta verifikojë me të njëjtin sjellje marrjeje që përdor një nisje. Ekzekutoni komandën një herë në tunel dhe një herë jashtë tij, më pas krahasoni rreshtat e marrjes në vend të verdiktit përfundimtar.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

Dalja liston zinxhirin, adresat CRL dhe OCSP dhe nëse çdo marrje pati sukses. Një përgjigjës që skadon në tunel dhe përgjigjet jashtë tij është prova që ju nevojitet, dhe peshon shumë më tepër sesa një përshtypje ngadalësie. Nëse marrja ka sukses ngadalë, shënoni adresën që hapi tjetër të mund ta testojë atë host drejtpërdrejt.

Zgjidhni emrin e hostit të përgjigjësit dhe testoni arritshmërinë jashtë aplikacionit, sepse një emër që nuk zgjidhet nuk do të rregullohet kurrë nga një cilësim klienti. Regjistri operacional i CodeIntegrity ofron gjysmën tjetër të provës, duke lidhur një ngjarje vërtetimi me vulën kohore të nisjes së ngadaltë.

Shkurtoni vonesën pa hequr kontrollin

Çaktivizimi i politikës ose kalimi në modalitetin e auditimit e bën vonesën të zhduket dhe heq kontrollin që vendosi organizata, prandaj trajtojeni atë si rregullimin e gabuar. Opsionet më të ngushta janë një ndryshim rrugëtimi që përgjigjësi të jetë i arritshëm përmes tunelit, një përjashtim në tunelin e ndarë për hostet e përgjigjësit, një korrigjim DNS kur emri zgjidhet në një adresë të paarritshme, ose një proxy cache i mbështetur për të dhënat e revokimit. Secili ka një pronar tjetër: ekipi i PKI zotëron arritshmërinë e përgjigjësit, ekipi i rrjetit zotëron ndarjen e tunelit dhe ekipi i pikave fundore zotëron politikën.

Përjashtimi i çdo hosti revokimi nga tuneli nuk është automatikisht i sigurt, pasi një përgjigjës i brendshëm mund të jetë i brendshëm me qëllim. Konfirmoni përjashtimin me ekipin që operon PKI-në përpara se të shkruani një rregull që dërgon në heshtje kontrollet e certifikatave në internetin publik. Një ndryshim i bërë pa atë konfirmim është ai lloj që kthehet mbrapsht në rifreskimin tjetër të politikës.

Verifikoni një nisje të ftohtë pas ndryshimit

Matni një nisje të ftohtë në të dyja gjendjet dhe mbani numrat, sepse një nisje e ngrohtë nuk provon pothuajse asgjë pasi assembly-t janë në cache. Përsëritni nisjen nga një sesion i ri, që rruga e ngarkimit të shtesave të ushtrohet përsëri.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Një konfigurim i rregulluar ende kontakton përgjigjësin, ose përdor një rrugë cache të miratuar nga ekipi juaj i PKI, dhe regjistri tregon vërtetimin duke përfunduar në vend që të skadojë. Konfirmoni që një aplikacion i nënshkruar së fundmi ende niset, sepse një politikë që lejon gjithçka nuk është rregullim i suksesshëm. Kontrolloni gjithashtu dosjen e politikës aktive dhe gjendjen e zbatimit, që të dihet se politika që po korrigjoni është ajo që po ekzekutohet. Mbani zinxhirin e certifikatave, adresën e përgjigjësit dhe vulat kohore të nisjes në të njëjtin tiketë, sepse një rinovim zakonisht lëviz përgjigjësin dhe lë rregullin e përjashtimit ose DNS të vjetëruar.