แท็กอุปกรณ์ไม่ใช่ข้อมูลรับรอง VPN: สามข้อกล่าวอ้างที่ต้องแยก

ชื่อโฮสต์ หมายเลขซีเรียล และไฟล์เครื่องหมายที่ซ่อนอยู่ช่วยติดป้ายแล็ปท็อป และไม่มีสิ่งใดพิสูจน์ว่าแล็ปท็อปที่นำเสนอสิ่งเหล่านั้นเป็นอุปกรณ์ที่ได้รับอนุมัติ การรับเข้าขึ้นอยู่กับข้อกล่าวอ้างสามข้อแยกกัน: ทรัพย์สินคือสิ่งที่องค์กรบันทึกไว้ ไคลเอนต์ถือข้อมูลรับรองที่ออกให้ และข้อมูลรับรองนั้นได้รับการป้องกันตามนโยบายกำหนด การรวมทั้งสามเป็นรายการตรวจเดียวคือช่องทางที่ไฟล์ที่ถูกคัดลอกและกุญแจที่ถูกโคลนเล็ดลอด

สามข้อกล่าวอ้างที่ถูกรวมเป็นหนึ่ง

บันทึกสินค้าคงคลังอธิบายทรัพย์สินและเจ้าของ การลงทะเบียนผูกข้อมูลรับรองที่เหมาะสมเข้ากับบันทึกนั้น เมื่อเชื่อมต่อ VPN จะตรวจสอบหลักฐานที่วิธีการซึ่งกำหนดค่าไว้ต้องการ หมายเลขซีเรียลที่พิมพ์ในแบบฟอร์มลงทะเบียนไม่ควรได้รับอนุญาตของอุปกรณ์นั้นโดยอัตโนมัติ เพราะแบบฟอร์มพิสูจน์เพียงว่ามีคนรู้หมายเลขซีเรียล แยกสามขั้นตอนออกจากกัน และแต่ละขั้นตอนทดสอบได้ด้วยตัวเอง

ไฟล์เครื่องหมายแย่กว่าหมายเลขซีเรียลในแง่หนึ่ง: การคัดลอกเป็นเรื่องง่าย และทุกสำเนาดูน่าเชื่อถือเท่ากัน

ดูว่าอุปกรณ์นำเสนออะไรจริง ๆ

ดูข้อมูลรับรองที่ไคลเอนต์เก็บไว้จริงก่อนสันนิษฐานว่าเฉพาะเจาะจงกับอุปกรณ์

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

รายการแสดงว่ามีใบรับรองเครื่องใดบ้างและมีกุญแจส่วนตัวอยู่หรือไม่ ซึ่งเป็นความแตกต่างระหว่างไฟล์สาธารณะกับข้อมูลรับรองที่ใช้ได้ การดัมป์ที่เก็บเพิ่มชื่อผู้ให้บริการ และผู้ให้บริการซอฟต์แวร์เทียบกับผู้ให้บริการการเข้ารหัสของแพลตฟอร์มเป็นเบาะแสแรกว่ากุญแจอาศัยอยู่ที่ใด ใบรับรองที่ไม่มีกุญแจส่วนตัวไม่ยืนยันสิ่งใด ขณะที่ กุญแจส่วนตัวที่ส่งออกไปยังเครื่องอื่นทำให้ข้อมูลรับรองพกพาได้ ไม่ว่าหัวเรื่องจะกล่าวอะไร บันทึกลายนิ้วมือและผู้ให้บริการแทนชื่อที่แสดง

การป้องกันด้วยฮาร์ดแวร์ต้องมีหลักฐาน

ใบรับรองเป็นข้อมูลสาธารณะ ดังนั้นคำถามที่มีความหมายคือกุญแจส่วนตัวอาศัยอยู่ที่ใดและการป้องกันนั้นได้รับการรับรองหรือไม่ การรับรองกุญแจ TPM อธิบายถึงผู้ขอที่พิสูจน์ต่อหน่วยงานออกใบรับรองว่ากุญแจได้รับการป้องกันโดย TPM ที่เชื่อถือได้ ซึ่งแข็งแกร่งกว่าการระบุชื่อผู้ให้บริการฮาร์ดแวร์ในคำขอ นอกจากนี้ยังเป็นสถาปัตยกรรมที่มีสมมติฐานความเชื่อถือของตัวเอง ไม่ใช่สิ่งที่ไคลเอนต์ VPN เปิดใช้โดยค่าเริ่มต้น ยืนยันว่าผู้ออกยอมรับอะไรและเกตเวย์บังคับใช้อะไรกับข้อมูลรับรองที่ได้มา เพราะการจัดเก็บ การรับรอง และนโยบายการรับเข้าเป็นสามองค์ประกอบ

กุญแจที่หนุนด้วยฮาร์ดแวร์ยังไม่บอกอะไรเกี่ยวกับระดับแพตช์ การมอบหมายปัจจุบัน หรือวิธีที่เซสชันถูกใช้ สิ่งเหล่านั้นต้องมีการควบคุมของตัวเอง

ทำให้การเปลี่ยนและการถอดถอนเป็นรูปธรรม

วางแผนว่าจะเกิดอะไรขึ้นเมื่ออุปกรณ์สูญหาย ซ่อมแซม ถูกมอบหมายใหม่ หรือถูกเปลี่ยน การเปลี่ยนเมนบอร์ดหรือที่เก็บกุญแจที่ถูกลบมักต้องลงทะเบียนใหม่ที่ได้รับการสนับสนุน ไม่ใช่การคัดลอกความลับเก่าเพื่อเลียนแบบเครื่องเดิม บันทึกทรัพย์สิน ตัวระบุข้อมูลรับรอง เจ้าของ การตัดสินใจลงทะเบียน และบทบาทการเข้าถึงไว้ด้วยกัน เพื่อให้ผู้ดูแลคนต่อไปเห็นว่าอะไรเป็นของอะไร ถอดถอนการอนุญาตที่เกตเวย์ยอมรับจริง เพราะการเปลี่ยนสถานะสินค้าคงคลังไม่ได้พิสูจน์สิ่งใดเกี่ยวกับข้อมูลรับรองหรือเซสชันที่มีอยู่

จากนั้นทดสอบขอบเขต: อุปกรณ์ที่ได้รับอนุมัติเชื่อมต่อได้ ป้ายที่ถูกคัดลอกเพียงอย่างเดียวเชื่อมต่อไม่ได้ และตัวตนที่ปลดระวางหยุดทำงาน ไฟล์ชื่อ approved ยังคงเป็นป้ายจนกว่ากระบวนการที่เชื่อถือได้จะให้ความหมายแก่ไฟล์นั้น