Kuingia kwa PIV kunashindikana kwenye Windows EAP-TLS? Angalia njia ya kutia sahihi

Onyesha cheti cha kadi ya PIV katika kila mazungumzo ya Windows na kuingia kwenye VPN bado kunaweza kushindikana, kwa sababu kuonekana na kutumiwa ni sifa tofauti. Cheti ni kitu cha umma; kuingia kunahitaji operesheni ya ufunguo wa faragha inayofanywa na kadi kwa kanuni zake za ufikiaji. Kati ya ukweli huo miwili kuna hatua nne zinazoshindikana kwa njia nne tofauti: uteuzi wa wasifu, uteuzi wa cheti, utiaji sahihi wa ndani na uthibitishaji upande wa seva. Kuzipitia kwa mpangilio kunabadilisha hitilafu ya jumla ya kupeana mikono kuwa swali mahususi kwa yeyote anayemiliki sehemu inayofuata.

Anza na wasifu na njia ya EAP

Fungua sifa za muunganisho na usome ni njia gani ya EAP ambayo wasifu unatumia kwa hakika, kisha usome ni cheti gani njia hiyo imesanidiwa kuchagua. Usanidi mwingi una njia ya nje inayotegemea cheti na njia ya ndani, na cheti kilichosanidiwa katika ngazi ya muunganisho si kile kinachowasilishwa ndani ya EAP-TLS kwa automatiki. Ikiwa wasifu huchagua cheti kwa mtoa huduma au kwa kichujio cha mada, kichujio hicho huchagua kutoka kile Windows inachoweza kuona katika hifadhi husika, si kutoka kile kadi inachokuwa nacho kwa bahati. Kichujio kisicholingana na chochote huenda kwa ombi au kwa kushindikana kwa kimya kulingana na usanidi wa wasifu, ndiyo sababu alama ya kidole iliyochaguliwa inafaa kurekodiwa kabla ya mabadiliko yoyote.

Pia thibitisha kama muunganisho unaendeshwa kama mtumiaji aliyeingia au kama mashine. Ukweli huo mmoja huamua ni hifadhi gani za vyeti zilizo katika wigo na ni muktadha gani wa usalama unaotia sahihi.

Thibitisha ni cheti gani kilichochaguliwa

Linganisha alama ya kidole iliyochaguliwa na Windows na hitaji: matumizi kwa uthibitishaji wa mteja, mnyororo unaoishia kwenye mzizi unaoaminika, utambulisho unaopangwa na sera ya seva ya uthibitishaji, na kipindi cha uhalali kinachofunika wakati halisi wa jaribio. Hizi ni ukaguzi tofauti na wa mwisho hunasa mshangao mwingi kuliko watu wanavyotarajia, hasa kwa vyeti vinavyotolewa kwa mzunguko na wasifu zilizohifadhiwa kwenye akiba ambazo bado zinaelekeza kwenye uteuzi wa jana.

Muktadha wa mtumiaji na mashine ni nusu nyingine ya ukaguzi. Cheti kilicho katika hifadhi ya kibinafsi ya mtumiaji hakionekani kwa huduma inayoendeshwa kama mashine, na cheti cha mashine hakivasilishwi na mabadilishano ya EAP ya hali ya mtumiaji isipokuwa wasifu unasema hivyo. Kuagiza tena cheti kwenye hifadhi isiyo sahihi hutoa cheti kinachoonekana na kitambulisho cha kuingia kisichoonekana. Soma njia ya hifadhi iliyo kwenye wasifu, si ile iliyo kwenye mazungumzo yaliyofunguka kwa bahati.

Jaribu operesheni ya ufunguo bila kukisia PIN

Uteuzi ukiwa umethibitishwa, swali ni kama kadi itafanya utiaji sahihi. Windows inahitaji mtoa kadi au minidriver unaotumika kufikia ufunguo wa faragha, na kifaa kinatumia kanuni zake za PIN na uwepo kwenye operesheni. Kadi iliyosanidiwa kuhitaji mguso kwa kila sahihi hujiendesha tofauti na ile inayohifadhi uthibitisho kwa kipindi, na zote mbili ni usanidi halali unaobadilisha wakati ombi linapotokea. Tofauti hiyo inaeleza kuingia kunakofanikiwa baada ya kuingizwa upya na kushindikana baada ya kuamka, bila cheti chochote kuwa kibaya.

certutil.exe -scinfo
certutil.exe -store -user My
Get-WinEvent -LogName Application -MaxEvents 40 | Where-Object ProviderName -like '*Ras*'

Amri ya kwanza huorodhesha kadi na kuripoti hali ya kisomaji na mtoa huduma, ambayo imeandikwa katika mwongozo wa Microsoft wa utatuzi wa kadi janja. Ya pili huorodhesha kile muktadha wa mtumiaji unachoweza kuona kwa hakika. Hakuna hata moja inayothibitisha uthibitishaji uliofanikiwa; zote mbili hupunguza mahali iliposimama.

Usikisie PIN. Kadi hutekeleza mipaka ya majaribio, na majaribio machache ya matumaini hubadilisha tatizo la ruhusa kuwa kitambulisho kilichozuiwa kinachohitaji urejeshaji wa kiutawala. Ikiwa utiaji sahihi wa ndani unashindikana, rekodi hali ya mtoa huduma na hali ya kadi badala ya kujaribu tofauti. Rudia jaribio mara moja kwa wasifu uleule, cheti kilekile na njia ya kisomaji inayojulikana kuwa nzuri, kisha linganisha rekodi mbili; kubadilisha vigeu kadhaa kwa wakati mmoja hutoa hadithi badala ya matokeo.

Soma pande zote mbili za kupeana mikono

Sahihi iliyokamilika bado si kibali cha kuingia. Seva ya uthibitishaji lazima ikubali mnyororo, ikague ubatilishaji, ipange utambulisho kwa kanuni zake za sasa na iidhinishe ombi; mteja kwa upande wake lazima athibitishe cheti cha seva kama wasifu unavyohitaji. Onyo la TLS linalozalishwa na seva linaonekana sawa katika kumbukumbu ya mteja na lile lililozalishwa ndani, ndiyo sababu upande unaolitoa ni muhimu kuliko maandishi ya onyo.

Kusanya matukio ya Windows na matukio ya upande wa seva ukiwa na alama za muda zilizolingana, kisha tambua ni upande gani uliozalisha kushindikana kwa kwanza. RFC 5216 inaeleza hatua ya uthibitisho wa umiliki katika EAP-TLS, na onyo la jumla la kupeana mikono haliitaji sababu ya ufunguo wa ndani peke yake. Ulinganisho wa alama za muda ndio unaobadilisha kumbukumbu mbili kuwa mfululizo.

Weka mipaka sawa katika ripoti

Andika ripoti kama hatua nne kila moja ikiwa na hukumu moja: ni wasifu na muktadha gani uliendeshwa, ni cheti gani Windows ilichagua, kama kadi ilitia sahihi na seva iliamua nini. Muundo huo hufanya hatua inayofuata kuwa dhahiri na huzuia ukarabati wa kawaida wa kuzima uthibitishaji ili kupita hatua ambayo hakuna aliyegundua.

Cheti cha programu kama ulinganisho wa muda ni jaribio halali la msimamizi, lakini hubadilisha mtindo wa vitambulisho na uhakikisho, kwa hiyo ni sehemu ya mabadiliko yaliyoidhinishwa na si njia ya kuzunguka ya kimya katika uzalishaji. Nidhamu hiyo hiyo inatumika kwa majaribio ya PIN na kwa utoaji upya wa vitambulisho kabla ya hatua inayoshindikana kujulikana. Kadi mbadala inayoshindikana vivyo hivyo ni ushahidi wa gharama kubwa kwamba tatizo halikuwa kwenye kadi kamwe.