Visual Studio VPN లో మాత్రమే నెమ్మదిగా ఉందా? CRL మరియు OCSP తనిఖీ చేయండి

Visual Studio ఇంట్లో సాధారణంగా ప్రారంభమవుతుంది, తర్వాత అదే ల్యాప్‌టాప్ కార్పొరేట్ టన్నెల్‌లో చేరుతుంది మరియు ప్రతి ప్రారంభం అర్ధ నిమిషం స్ప్లాష్ స్క్రీన్‌పై నిలిచి ఉంటుంది. విధానాన్ని తీసేస్తే జాప్యం కూడా దానితో పోతుంది; టన్నెల్‌ను తీసేస్తే అదే జరుగుతుంది. రెండు పరిశీలనలు సరైనవి, అందుకే రెండు భాగాలు ఒకదానినొకటి నిందిస్తూనే ఉంటాయి. నిర్ణాయక ప్రశ్న ఏమిటంటే, సర్టిఫికెట్ రద్దు ప్రశ్న టన్నెల్ మాత్రమే అందించే మార్గం కోసం వేచి ఉందా, లేక ఎలాంటి మార్గాన్ని కనుగొనలేకపోతుందా అన్నది.

ప్రారంభాన్ని కాదు, పొందడాన్ని కొలవండి

ఒక WDAC విధానం, సంతకం చేసిన SiPolicy.p7b గా అమర్చబడి, యంత్రంలో ఏ చిత్రాలు నడవగలవో నిర్ణయిస్తుంది. కోడ్ సమగ్రత అమలుకు ముందు చిత్రం యొక్క సంతకం గొలుసును ధృవీకరిస్తుంది, ఆ ధృవీకరణలో రద్దు ప్రశ్న ఉండవచ్చు. సమాధానం సర్టిఫికెట్ తన లోపల పేర్కొనే CRL పంపిణీ పాయింట్ లేదా OCSP ప్రతిస్పందించేదానిపై ఆధారపడి ఉంటుంది.

ఇవి సాధారణ నెట్‌వర్క్ అభ్యర్థనలు, కాబట్టి వాటి ఖర్చు ప్రతిస్పందించేది ఎక్కడ ఉందనే దానిపై ఆధారపడి ఉంటుంది. టన్నెల్ ద్వారా మాత్రమే చేరుకోగలిగినప్పుడు, లేదా దాని పేరు టన్నెల్ వెనుక ఉన్న DNS సర్వర్ ద్వారా మాత్రమే పరిష్కరించబడినప్పుడు, ధృవీకరణ టన్నెల్ సిద్ధమయ్యే వరకు వేచి ఉంటుంది. Visual Studio ప్రారంభంలో చాలా సంతకం చేసిన అసెంబ్లీలు మరియు పొడిగింపులను లోడ్ చేస్తుంది, ప్రతి చిత్రానికి చిన్న జాప్యం కనిపించే నిలిపివేతగా మారుతుంది. ఏదీ వికృతం కాలేదు మరియు విధానం కాన్ఫిగర్ చేసినట్లే ప్రవర్తిస్తుంది, అందుకే విధానాన్ని తీసేయడం సమస్యను పరిష్కరించినట్లు అనిపిస్తుంది.

సంతకం చేసిన ప్రతి చిత్రం నెట్‌వర్క్ కాల్‌ను ప్రేరేపించగలదు

ఇప్పటికే డిస్క్‌లో ఉన్న సంతకం చేసిన బైనరీతో ప్రారంభించి, ప్రారంభం ఉపయోగించే అదే పొందడం ప్రవర్తనతో దాన్ని ధృవీకరించమని ప్లాట్‌ఫారమ్‌ను అడగండి. ఆదేశాన్ని ఒకసారి టన్నెల్‌లో, ఒకసారి దాని వెలుపల అమలు చేసి, తర్వాత తుది తీర్పుకు బదులు పొందడం వరుసలను పోల్చండి.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

అవుట్‌పుట్ గొలుసు, CRL మరియు OCSP చిరునామాలు మరియు ప్రతి పొందడం విజయవంతమైందా అనేది జాబితా చేస్తుంది. టన్నెల్‌లో సమయం ముగిసి బయట సమాధానం ఇచ్చే ప్రతిస్పందించేది మీకు అవసరమైన రుజువు, మరియు అది నెమ్మదితనం యొక్క అనుభూతి కంటే చాలా బరువైనది. పొందడం నెమ్మదిగా విజయవంతమైతే, తదుపరి దశ ఆ హోస్ట్‌ను నేరుగా పరీక్షించగలిగేలా చిరునామాను గుర్తించండి.

ప్రతిస్పందించేది యొక్క హోస్ట్ పేరును పరిష్కరించి, అప్లికేషన్ వెలుపల చేరుకోగలగడాన్ని పరీక్షించండి, ఎందుకంటే పరిష్కరించలేని పేరును ఏ క్లయింట్ సెట్టింగ్ కూడా ఎప్పటికీ సరిచేయదు. CodeIntegrity నిర్వహణ లాగ్ రుజువు యొక్క మరొక సగం అందిస్తుంది, ధృవీకరణ సంఘటనను నెమ్మది ప్రారంభం యొక్క సమయ ముద్రతో అనుసంధానిస్తుంది.

నియంత్రణను తీసేయకుండా జాప్యాన్ని తగ్గించండి

విధానాన్ని నిలిపివేయడం లేదా ఆడిట్ మోడ్‌కు మార్చడం జాప్యాన్ని మాయం చేస్తుంది మరియు సంస్థ అమలు చేసిన నియంత్రణను తీసేస్తుంది, కాబట్టి దాన్ని తప్పు మరమ్మత్తుగా పరిగణించండి. ఇరుకైన ఎంపికలు ఏమిటంటే, ప్రతిస్పందించేది టన్నెల్ ద్వారా చేరుకోగలిగేలా రూటింగ్ మార్పు, ప్రతిస్పందించేది హోస్ట్‌ల కోసం విభజిత టన్నెల్‌లో మినహాయింపు, పేరు చేరుకోలేని చిరునామాకు పరిష్కరించబడినప్పుడు DNS సవరణ, లేదా రద్దు డేటా కోసం మద్దతు ఉన్న కాషింగ్ ప్రాక్సీ. ప్రతిదానికి వేరే యజమాని: PKI బృందం ప్రతిస్పందించేది చేరుకోగలగడాన్ని, నెట్‌వర్క్ బృందం టన్నెల్ విభజనను, ఎండ్‌పాయింట్ బృందం విధానాన్ని కలిగి ఉంటాయి.

ప్రతి రద్దు హోస్ట్‌ను టన్నెల్ నుండి మినహాయించడం స్వయంచాలకంగా సురక్షితం కాదు, ఎందుకంటే అంతర్గత ప్రతిస్పందించేది ఉద్దేశపూర్వకంగా అంతర్గతంగా ఉండవచ్చు. సర్టిఫికెట్ తనిఖీలను నిశ్శబ్దంగా పబ్లిక్ ఇంటర్నెట్‌కు పంపే నియమాన్ని రాయడానికి ముందు PKI నిర్వహించే బృందంతో మినహాయింపును నిర్ధారించండి. ఆ నిర్ధారణ లేకుండా చేసిన మార్పు తదుపరి విధాన రిఫ్రెష్‌లో వెనక్కి తీసుకోబడే రకం.

మార్పు తర్వాత కోల్డ్ స్టార్ట్‌ను ధృవీకరించండి

రెండు స్థితులలోనూ కోల్డ్ స్టార్ట్‌ను కొలిచి సంఖ్యలను ఉంచుకోండి, ఎందుకంటే అసెంబ్లీలు కాష్‌లో ఉన్న తర్వాత వార్మ్ స్టార్ట్ దాదాపు ఏమీ నిరూపించదు. కొత్త సెషన్ నుండి ప్రారంభాన్ని పునరావృతం చేయండి, పొడిగింపుల లోడింగ్ మార్గం మళ్లీ వినియోగించబడుతుంది.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

మరమ్మతు చేసిన కాన్ఫిగరేషన్ ఇప్పటికీ ప్రతిస్పందించేదితో సంబంధం పెట్టుకుంటుంది, లేదా మీ PKI బృందం ఆమోదించిన కాష్ మార్గాన్ని ఉపయోగిస్తుంది, మరియు లాగ్ ధృవీకరణ సమయం ముగిసే బదులు పూర్తవుతున్నట్లు చూపిస్తుంది. ఇటీవల సంతకం చేసిన అప్లికేషన్ ఇప్పటికీ ప్రారంభమవుతుందని నిర్ధారించండి, ఎందుకంటే అన్నింటినీ అనుమతించే విధానం విజయవంతమైన మరమ్మతు కాదు. సక్రియ విధాన ఫోల్డర్ మరియు అమలు స్థితిని కూడా తనిఖీ చేయండి, మీరు డీబగ్ చేస్తున్న విధానమే నడుస్తోందని తెలిసేలా. సర్టిఫికెట్ గొలుసు, ప్రతిస్పందించేది చిరునామా మరియు ప్రారంభ సమయ ముద్రలను ఒకే టికెట్‌లో ఉంచండి, ఎందుకంటే పునరుద్ధరణ సాధారణంగా ప్రతిస్పందించేదిని కదిలిస్తుంది మరియు మినహాయింపు లేదా DNS నియమాన్ని పాతదిగా వదిలేస్తుంది.