Visual Studio VPN-ல் மட்டும் மெதுவாகவா? CRL மற்றும் OCSP சரிபார்க்கவும்

Visual Studio வீட்டில் சாதாரணமாகத் தொடங்குகிறது, பின்னர் அதே மடிக்கணினி நிறுவன சுரங்கப்பாதையில் இணைகிறது, ஒவ்வொரு துவக்கமும் அரை நிமிடம் துவக்கத் திரையில் நிற்கிறது. கொள்கையை நீக்கினால் தாமதமும் அதனுடன் போகிறது; சுரங்கப்பாதையை நீக்கினால் அதே விஷயம் நடக்கிறது. இரண்டு அவதானிப்புகளும் சரியானவை, அதனால் இரு பகுதிகளும் ஒன்றையொன்று தொடர்ந்து குறைகூறுகின்றன. தீர்மானிக்கும் கேள்வி என்னவென்றால், சான்றிதழ் ரத்து விசாரணை சுரங்கப்பாதை மட்டும் வழங்கும் பாதைக்காகக் காத்திருக்கிறதா, அல்லது எந்தப் பாதையையும் கண்டுபிடிக்கவில்லையா என்பதே.

துவக்கத்தை அல்ல, பெறுதலை அளவிடுங்கள்

ஒரு WDAC கொள்கை, கையொப்பமிடப்பட்ட SiPolicy.p7b ஆக பயன்படுத்தப்பட்டு, எந்தப் படங்கள் இயந்திரத்தில் இயங்கலாம் என்பதைத் தீர்மானிக்கிறது. குறியீட்டு ஒருமைப்பாடு இயக்கத்திற்கு முன் ஒரு படத்தின் கையொப்பச் சங்கிலியைச் சரிபார்க்கிறது, அந்தச் சரிபார்ப்பில் ரத்து கேள்வியும் இருக்கலாம். பதில் சான்றிதழ் தனக்குள் பெயரிடும் CRL விநியோகப் புள்ளி அல்லது OCSP பதிலளிப்பானைப் பொறுத்தது.

இவை சாதாரண பிணையக் கோரிக்கைகள், எனவே அவற்றின் விலை பதிலளிப்பான் எங்கே உள்ளது என்பதைப் பொறுத்தது. அது சுரங்கப்பாதை வழியாக மட்டுமே அணுகக்கூடியதாக இருக்கும்போது, அல்லது அதன் பெயர் சுரங்கப்பாதைக்குப் பின்னால் உள்ள DNS சேவையகம் வழியாக மட்டுமே தீர்க்கப்படும்போது, சரிபார்ப்பு சுரங்கப்பாதை தயாராகும் வரை காத்திருக்கிறது. Visual Studio தொடங்கும்போது ஏராளமான கையொப்பமிடப்பட்ட அசெம்பிளிகள் மற்றும் நீட்டிப்புகளை ஏற்றுகிறது, ஒவ்வொரு படத்திற்கும் சிறிய தாமதம் தெரியும் நிறுத்தமாகிறது. எதுவும் சிதைந்தவில்லை, கொள்கை உள்ளமைக்கப்பட்டபடியே செயல்படுகிறது, அதனால் கொள்கையை நீக்குவது சிக்கலைச் சரிசெய்ததுபோல் தோன்றுகிறது.

கையொப்பமிடப்பட்ட ஒவ்வொரு படமும் பிணைய அழைப்பைத் தூண்டலாம்

ஏற்கனவே வட்டில் உள்ள கையொப்பமிடப்பட்ட பைனரியில் தொடங்கி, துவக்கம் பயன்படுத்தும் அதே பெறுதல் நடத்தையுடன் அதைச் சரிபார்க்குமாறு தளத்தைக் கேளுங்கள். கட்டளையை ஒருமுறை சுரங்கப்பாதையிலும் ஒருமுறை அதற்கு வெளியேயும் இயக்கி, பின்னர் இறுதித் தீர்ப்புக்குப் பதிலாக பெறுதல் வரிகளை ஒப்பிடுங்கள்.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

வெளியீடு சங்கிலியையும், CRL மற்றும் OCSP முகவரிகளையும், ஒவ்வொரு பெறுதலும் வெற்றியா என்பதையும் பட்டியலிடுகிறது. சுரங்கப்பாதையில் நேரம் முடிந்து வெளியே பதிலளிக்கும் பதிலளிப்பான் தான் உங்களுக்குத் தேவையான ஆதாரம், அது மெதுவான உணர்வை விட மிகவும் கனமானது. பெறுதல் மெதுவாக வெற்றியடைந்தால், அடுத்த படி அந்த புரவலனை நேரடியாகச் சோதிக்க முகவரியைக் குறித்துக்கொள்ளுங்கள்.

பதிலளிப்பானின் புரவலன் பெயரைத் தீர்த்து, பயன்பாட்டிற்கு வெளியே அணுகலைச் சோதியுங்கள், ஏனெனில் தீர்க்க முடியாத பெயரை எந்த வாடிக்கையாளர் அமைப்பும் ஒருபோதும் சரிசெய்யாது. CodeIntegrity இயக்கப் பதிவு ஆதாரத்தின் மற்ற பாதியை வழங்கி, சரிபார்ப்பு நிகழ்வை மெதுவான துவக்கத்தின் நேரமுத்திரையுடன் இணைக்கிறது.

கட்டுப்பாட்டை நீக்காமல் தாமதத்தைக் குறைக்கவும்

கொள்கையை முடக்குவது அல்லது தணிக்கை பயன்முறைக்கு மாற்றுவது தாமதத்தை மறையச் செய்து, நிறுவனம் பயன்படுத்திய கட்டுப்பாட்டை நீக்குகிறது, எனவே அதைத் தவறான பழுதுநீக்கமாகக் கருதுங்கள். குறுகிய விருப்பங்கள் என்னவென்றால், பதிலளிப்பான் சுரங்கப்பாதை வழியாக அணுகக்கூடியதாக இருக்கும் வகையில் வழித்தட மாற்றம், பதிலளிப்பான் புரவலர்களுக்கான பிரிக்கப்பட்ட சுரங்கப்பாதையில் விலக்கு, பெயர் அணுக முடியாத முகவரிக்குத் தீர்க்கப்படும்போது DNS திருத்தம், அல்லது ரத்துத் தரவுக்கான ஆதரவு பெற்ற தேக்க பதிலி. ஒவ்வொன்றுக்கும் வெவ்வேறு உரிமையாளர்: PKI குழு பதிலளிப்பானின் அணுகலை, பிணையக் குழு சுரங்கப்பாதைப் பிரிப்பை, முனைக் குழு கொள்கையை வைத்திருக்கிறது.

ஒவ்வொரு ரத்து புரவலனையும் சுரங்கப்பாதையிலிருந்து விலக்குவது தானாகவே பாதுகாப்பானது அல்ல, ஏனெனில் உள் பதிலளிப்பான் வேண்டுமென்றே உள் ஆக இருக்கலாம். சான்றிதழ் சரிபார்ப்புகளை அமைதியாக பொது இணையத்திற்கு அனுப்பும் விதியை எழுதும் முன், PKI இயக்கும் குழுவுடன் விலக்கை உறுதிசெய்யுங்கள். அந்த உறுதிப்படுத்தல் இல்லாமல் செய்யப்பட்ட மாற்றம் அடுத்த கொள்கை புதுப்பிப்பில் திரும்பப் பெறப்படும் வகையைச் சேர்ந்தது.

மாற்றத்திற்குப் பிறகு குளிர் துவக்கத்தைச் சரிபார்க்கவும்

இரு நிலைகளிலும் குளிர் துவக்கத்தை அளந்து எண்களை வைத்திருங்கள், ஏனெனில் அசெம்பிளிகள் தேக்கத்தில் இருந்தபின் வெப்பத் துவக்கம் கிட்டத்தட்ட எதையும் நிரூபிக்காது. புதிய அமர்விலிருந்து துவக்கத்தை மீண்டும் செய்யுங்கள், நீட்டிப்புகளின் ஏற்றப் பாதை மீண்டும் பயன்படுத்தப்படும்.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

பழுதுநீக்கப்பட்ட உள்ளமைவு இன்னும் பதிலளிப்பானைத் தொடர்பு கொள்கிறது, அல்லது உங்கள் PKI குழு அங்கீகரித்த தேக்கப் பாதையைப் பயன்படுத்துகிறது, பதிவு சரிபார்ப்பு நேரம் முடிவதற்குப் பதிலாக முடிவடைவதைக் காட்டுகிறது. சமீபத்தில் கையொப்பமிடப்பட்ட பயன்பாடு இன்னும் தொடங்குகிறதா என்பதை உறுதிசெய்யுங்கள், எல்லாவற்றையும் அனுமதிக்கும் கொள்கை வெற்றிகரமான பழுதுநீக்கம் அல்ல. செயலில் உள்ள கொள்கை கோப்புறையையும் அமலாக்க நிலையையும் சரிபார்க்கவும், நீங்கள் பிழைத்திருத்தும் கொள்கையே இயங்குகிறது என்பது தெரியும். சான்றிதழ்ச் சங்கிலி, பதிலளிப்பான் முகவரி, துவக்க நேரமுத்திரைகளை ஒரே டிக்கெட்டில் வைத்திருங்கள், ஏனெனில் புதுப்பித்தல் பொதுவாக பதிலளிப்பானை நகர்த்தி விலக்கு அல்லது DNS விதியைப் பழையதாக விட்டுச் செல்கிறது.