Ознаке уређаја нису VPN акредитиви: три тврдње које треба раздвојити

Имена хостова, серијски бројеви и скривене маркер датотеке помажу да се означи преносни рачунар, а ниједна од њих не доказује да је преносни рачунар који их предочава одобрени уређај. Пријем се ослања на три одвојене тврдње: да је имовина она коју је организација забележила, да клијент поседује акредитив издат за њу и да је тај акредитив заштићен како политика захтева. Њихово спајање у једну проверу пут је којим копиране датотеке и клонирани кључеви пролазе.

Три тврдње које се спајају у једну

Инвентарни запис описује имовину и њеног власника. Упис повезује одговарајући акредитив с тим записом. У време повезивања VPN проверава доказ који захтева његова конфигурисана метода. Серијски број уписан у образац за упис не би смео аутоматски да добије овлашћење тог уређаја, јер образац доказује само да неко зна серијски број. Раздвојите три корака и сваки се може тестирати засебно.

Маркер датотека је у једном погледу гора од серијског броја: копирати је тривијално, а свака копија изгледа једнако уверљиво.

Погледајте шта уређај заиста предочава

Погледајте акредитив који клијент стварно чува пре него што претпоставите да је специфичан за уређај.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Списак показује који сертификати рачунара постоје и да ли је присутан приватни кључ, а то је разлика између јавне датотеке и употребљивог акредитива. Испис складишта додаје име даваоца, а софтверски давалац наспрам платформског крипто даваоца прва је назнака где кључ живи. Сертификат без свог приватног кључа ништа не аутентификује, док приватни кључ извезен на други рачунар чини акредитив преносивим без обзира на то шта његов субјект каже. Забележите отисак и даваоца уместо приказаног имена.

Хардверска заштита тражи доказе

Сертификат је јавна информација, па је смислено питање где живи приватни кључ и да ли је та заштита потврђена. TPM потврда кључа описује подносиоца захтева који сертификационом телу доказује да је кључ заштићен поузданим TPM-ом, што је јаче од навођења хардверског даваоца у захтеву. То је и архитектура са сопственим претпоставкама поверења, а не нешто што VPN клијент укључује подразумевано. Потврдите шта издавалац прихвата и шта приступник намеће у вези с добијеним акредитивом, јер су складиштење, потврда и политика пријема три компоненте.

Кључ с хардверском подршком и даље не говори ништа о нивоу закрпа, тренутној додели или начину коришћења сесије. За то су потребне сопствене контроле.

Учините замену и уклањање конкретним

Испланирајте шта се дешава када се уређај изгуби, поправи, прерасподели или замени. Промена матичне плоче или избрисано складиште кључева обично захтева подржан поновни упис, а не копирање старих тајни да би се опонашао изворни рачунар. Забележите имовину, идентификатор акредитива, власника, одлуку о упису и улогу приступа заједно, како би следећи администратор видео шта чему припада. Уклоните овлашћење које приступник стварно прихвата, јер промена инвентарног статуса не доказује ништа о постојећем акредитиву или сесији.

Затим тестирајте границу: одобрени уређај се повезује, сама копирана ознака не, а повучени идентитет престаје да ради. Датотека названа approved остаје ознака док јој поуздан процес не да значење.