Visual Studio ni polepole kwenye VPN pekee? Angalia CRL na OCSP

Visual Studio huanza kawaida nyumbani, kisha kompyuta hiyo hiyo hujiunga na handaki la kampuni na kila uzinduzi hukaa nusu dakika kwenye skrini ya kuanza. Ondoa sera na ucheleweshaji huondoka nayo; ondoa handaki na jambo lile lile hutokea. Maonzi yote mawili ni sahihi, ndiyo sababu sehemu mbili huzilaumu kila mara. Swali la kuamua ni kama ombi la ubatilishaji wa cheti linasubiri njia ambayo handaki pekee huitoa, au halipati yoyote.

Pima upataji, si uzinduzi

Sera WDAC, iliyosambazwa kama SiPolicy.p7b iliyotiwa sahihi, huamua ni taswira gani zinaweza kuendeshwa kwenye mashine. Uadilifu wa msimbo huthibitisha mnyororo wa sahihi wa taswira kabla ya utekelezaji, na uthibitishaji huo unaweza kujumuisha swali la ubatilishaji. Jibu hutegemea kituo cha usambazaji cha CRL au mjibu OCSP ambao cheti hutaja ndani yake.

Haya ni maombi ya kawaida ya mtandao, kwa hivyo gharama yao hutegemea mahali mjibu alipo. Inapoweza kufikiwa kwa handaki pekee, au jina lake linatatuliwa kwa seva ya DNS iliyo nyuma ya handaki pekee, uthibitishaji husubiri handaki liwe tayari. Visual Studio hupakia wakati wa kuanza idadi kubwa ya mikusanyiko na viendelezi vilivyotiwa sahihi, na ucheleweshaji mdogo kwa kila taswira huwa kusimama kunakoonekana. Hakuna kilichoharibika na sera inafanya kazi sawa kabisa na ilivyosanidiwa, ndiyo sababu kuondoa sera kunaonekana kutatua tatizo.

Kila taswira iliyotiwa sahihi inaweza kuanzisha simu ya mtandao

Anza na faili ya binary iliyotiwa sahihi ambayo tayari iko kwenye diski na uombe jukwaa liithibitishe kwa tabia ile ile ya upataji ambayo uzinduzi hutumia. Endesha amri mara moja kwenye handaki na mara moja nje yake, kisha linganisha mistari ya upataji badala ya hukumu ya mwisho.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

Matokeo huorodhesha mnyororo, anwani za CRL na OCSP na kama kila upataji ulifanikiwa. Mjibu anayeisha muda kwenye handaki na kujibu nje yake ndiyo ushahidi unaouhitaji, na una uzito mkubwa kuliko hisia ya upolepole. Ikiwa upataji utafanikiwa polepole, andika anwani ili hatua inayofuata iweze kujaribu mwenyeji huyo moja kwa moja.

Tatua jina la mwenyeji wa mjibu na ujaribu ufikivu nje ya programu, kwa sababu jina lisiloweza kutatuliwa halitarekebishwa kamwe na mpangilio wowote wa mteja. Kumbukumbu ya uendeshaji ya CodeIntegrity hutoa nusu nyingine ya ushahidi, ikihusisha tukio la uthibitishaji na muhuri wa muda wa uzinduzi wa polepole.

Punguza ucheleweshaji bila kuondoa udhibiti

Kuzima sera au kuibadilisha kwenda hali ya ukaguzi huondoa ucheleweshaji na huondoa udhibiti uliosambazwa na shirika, kwa hivyo chukulia hilo kama urekebishaji mbaya. Chaguo nyembamba ni mabadiliko ya uelekezaji ili mjibu afikike kwa handaki, msamaha katika handaki lililogawanywa kwa wenyeji wa mjibu, marekebisho ya DNS jina linapotatuliwa kwenda anwani isiyofikika, au proksi ya akiba inayoungwa mkono kwa data ya ubatilishaji. Kila moja ina mmiliki tofauti: timu ya PKI inamiliki ufikivu wa mjibu, timu ya mtandao inamiliki mgawanyo wa handaki na timu ya vituo vya mwisho inamiliki sera.

Kuondoa kila mwenyeji wa ubatilishaji kwenye handaki si salama kiotomatiki, kwa sababu mjibu wa ndani anaweza kuwa wa ndani kwa kusudi. Thibitisha msamaha na timu inayoendesha PKI kabla ya kuandika kanuni inayotuma ukaguzi wa vyeti kimya kimya kwenye intaneti ya umma. Mabadiliko yaliyofanywa bila uthibitisho huo ni ya aina yanayorudishwa nyuma kwenye uboreshaji ujao wa sera.

Thibitisha kuanza baridi baada ya mabadiliko

Pima kuanza baridi katika hali zote mbili na uhifadhi namba, kwa sababu kuanza joto hakuonyeshi karibu kitu chochote mara mikusanyiko inapokuwa kwenye akiba. Rudia uzinduzi kutoka kikao kipya ili njia ya upakiaji wa viendelezi ifanyike tena.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Usanidi uliorekebishwa bado unawasiliana na mjibu, au unatumia njia ya akiba iliyoidhinishwa na timu yako ya PKI, na kumbukumbu inaonyesha uthibitishaji unakamilika badala ya kuisha muda. Thibitisha kwamba programu iliyotiwa sahihi hivi karibuni bado inaanza, kwa sababu sera inayoruhusu kila kitu si urekebishaji uliofanikiwa. Angalia pia folda ya sera inayotumika na hali ya utekelezaji, ili ijulikane kuwa sera unayorekebisha ndiyo inayoendeshwa. Weka mnyororo wa vyeti, anwani ya mjibu na mihuri ya muda ya uzinduzi kwenye tikiti moja, kwa sababu uboreshaji huwa unasogeza mjibu na kuacha kanuni ya msamaha au DNS ikiwa ya kizamani.