Enhetstaggar är inte VPN-inloggningsuppgifter: tre påståenden att skilja

Värdnamn, serienummer och dolda markörfiler hjälper till att märka en bärbar dator, och ingen av dem bevisar att den bärbara dator som visar upp en av dem är den godkända enheten. Tillträde vilar på tre separata påståenden: att tillgången är den organisationen registrerade, att klienten har den inloggningsuppgift som utfärdats för den, och att den uppgiften skyddas som policyn kräver. Att slå ihop dem till en enda kontroll är vägen som kopierade filer och klonade nycklar slinker igenom.

Tre påståenden som slås ihop till ett

Inventarieregistreringen beskriver tillgången och dess ägare. Registreringen knyter en lämplig inloggningsuppgift till den posten. Vid anslutning verifierar VPN det bevis som den konfigurerade metoden kräver. Ett serienummer som skrivs in i ett registreringsformulär bör inte automatiskt få den enhetens auktorisering, eftersom formuläret bara bevisar att någon känner till serienumret. Skilj de tre stegen åt och varje steg kan testas för sig.

En markörfil är värre än ett serienummer i ett avseende: att kopiera den är trivialt, och varje kopia ser lika övertygande ut.

Se vad enheten faktiskt visar upp

Titta på den inloggningsuppgift som klienten faktiskt lagrar innan du antar att den är enhetsspecifik.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Listan visar vilka maskincertifikat som finns och om en privat nyckel är närvarande, vilket är skillnaden mellan en offentlig fil och en användbar inloggningsuppgift. Lagringsutskriften lägger till leverantörens namn, och en mjukvaruleverantör kontra en plattformskryptoleverantör är den första ledtråden till var nyckeln bor. Ett certifikat utan sin privata nyckel autentiserar ingenting, medan en privat nyckel som exporterats till en annan maskin gör inloggningsuppgiften flyttbar vad dess subjekt än säger. Notera fingeravtrycket och leverantören i stället för visningsnamnet.

Maskinvaruskydd kräver bevis

Ett certifikat är offentlig information, så den meningsfulla frågan är var den privata nyckeln bor och om det skyddet attesterades. TPM-nyckelattestering beskriver en begärande som bevisar för en certifikatmyndighet att en nyckel skyddas av en betrodd TPM, vilket är starkare än att namnge en maskinvaruleverantör i en begäran. Det är också en arkitektur med egna förtroendeantaganden, inte något som en VPN-klient aktiverar som standard. Bekräfta vad utfärdaren accepterar och vad gatewayen genomdriver om den resulterande inloggningsuppgiften, eftersom lagring, attestering och tillträdespolicy är tre komponenter.

En maskinvarustödd nyckel säger fortfarande ingenting om patchnivå, aktuell tilldelning eller hur sessionen används. Det kräver egna kontroller.

Gör utbyte och borttagning konkreta

Planera vad som händer när en enhet tappas bort, repareras, omfördelas eller byts ut. Ett byte av moderkort eller ett raderat nyckellager kräver vanligtvis en stödd nyregistrering i stället för att kopiera gamla hemligheter för att efterlikna den ursprungliga maskinen. Registrera tillgången, inloggningsuppgiftens identifierare, ägaren, registreringsbeslutet och åtkomstrollen tillsammans, så att nästa administratör ser vad som hör till vad. Ta bort den auktorisering som gatewayen faktiskt accepterar, eftersom en ändring av inventariestatus inte bevisar något om en befintlig inloggningsuppgift eller session.

Testa sedan gränsen: en godkänd enhet ansluter, en kopierad etikett ensam gör det inte, och en avvecklad identitet slutar fungera. En fil som heter approved förblir en etikett tills en pålitlig process ger den betydelse.