Ang mga tag ng device ay hindi kredensyal ng VPN: tatlong pahayag na dapat ihiwalay

Ang mga hostname, serial number at nakatagong marker file ay tumutulong lagyan ng label ang isang laptop, at wala sa mga ito ang nagpapatunay na ang laptop na nagpapakita ng isa sa mga ito ay ang aprubadong device. Ang pagtanggap ay nakasalalay sa tatlong hiwalay na pahayag: ang asset ay ang naitala ng organisasyon, taglay ng kliyente ang kredensyal na inilabas para dito, at ang kredensyal na iyon ay protektado ayon sa hinihingi ng patakaran. Ang pagsasama-sama ng mga ito sa isang pagsusuri ang paraan kung paano nakakalusot ang mga kinopyang file at kinlon na susi.

Tatlong pahayag na isinasama sa isa

Inilalarawan ng talaan ng imbentaryo ang asset at ang may-ari nito. Iniugnay ng pagpapatala ang angkop na kredensyal sa talaang iyon. Sa oras ng koneksyon, binibigyang-katunayan ng VPN ang patunay na hinihingi ng naka-configure na paraan nito. Ang serial number na itina-type sa form ng pagpapatala ay hindi dapat awtomatikong tumanggap ng awtorisasyon ng device na iyon, dahil ang form ay nagpapatunay lamang na may nakakaalam ng serial number. Ihiwalay ang tatlong hakbang at bawat isa ay masusubok nang mag-isa.

Ang marker file ay mas masahol kaysa serial number sa isang aspeto: walang kahirap-hirap ang pagkopya nito, at ang bawat kopya ay mukhang parehong kapani-paniwala.

Tingnan kung ano talaga ang ipinapakita ng device

Tingnan ang kredensyal na aktuwal na iniimbak ng kliyente bago ipagpalagay na ito ay partikular sa device.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Ipinapakita ng listahan kung aling mga sertipiko ng makina ang umiiral at kung may pribadong susi, na siyang pagkakaiba ng pampublikong file at magagamit na kredensyal. Idinadagdag ng dump ng imbakan ang pangalan ng provider, at ang software provider kumpara sa platform crypto provider ang unang palatandaan kung saan nakatira ang susi. Ang sertipiko na walang sariling pribadong susi ay walang binibigyang-katunayan, samantalang ang pribadong susing inilabas sa ibang makina ay ginagawang naikakarga ang kredensyal anuman ang sabihin ng subject nito. Itala ang fingerprint at provider sa halip na ang display name.

Kailangan ng proteksyon ng hardware ng ebidensya

Ang sertipiko ay pampublikong impormasyon, kaya ang makabuluhang tanong ay kung saan nakatira ang pribadong susi at kung ang proteksyong iyon ay naatestuhan. Inilalarawan ng TPM key attestation ang isang humihiling na nagpapatunay sa awtoridad ng sertipiko na ang susi ay protektado ng pinagkakatiwalaang TPM, na mas matibay kaysa pagbanggit ng hardware provider sa isang kahilingan. Ito rin ay arkitekturang may sariling mga palagay sa pagtitiwala, hindi isang bagay na awtomatikong pinagagana ng kliyente ng VPN. Tiyakin kung ano ang tinatanggap ng naglalabas at ano ang ipinapatupad ng gateway tungkol sa resultang kredensyal, dahil ang imbakan, attestation at patakaran sa pagtanggap ay tatlong bahagi.

Ang susing suportado ng hardware ay wala pa ring sinasabi tungkol sa antas ng patch, kasalukuyang pagtatalaga o kung paano ginagamit ang session. Kailangan nito ng sariling mga kontrol.

Gawing konkretong ang pagpapalit at pagtanggal

Planuhin kung ano ang nangyayari kapag nawala, naayos, naitalaga muli o napalitan ang isang device. Ang pagpapalit ng motherboard o naburang imbakan ng susi ay karaniwang nangangailangan ng suportadong muling pagpapatala sa halip na kopyahin ang lumang mga sikreto upang gayahin ang orihinal na makina. Itala nang sabay ang asset, identifier ng kredensyal, may-ari, desisyon sa pagpapatala at papel sa pag-access, upang makita ng susunod na administrador kung ano ang kabilang sa ano. Alisin ang awtorisasyon na aktuwal na tinatanggap ng gateway, dahil ang pagbabago ng katayuan ng imbentaryo ay walang pinatutunayang tungkol sa umiiral na kredensyal o session.

Pagkatapos ay subukin ang hangganan: kumokonekta ang aprubadong device, ang kinopyang label lamang ay hindi, at humihinto ang paggana ng retiradong pagkakakilanlan. Ang file na tinatawag na approved ay nananatiling label hanggang bigyan ito ng kahulugan ng mapagkakatiwalaang proseso.