Cihaz etiketleri VPN kimlik bilgileri değildir: ayrılması gereken üç iddia

Ana makine adları, seri numaraları ve gizli işaret dosyaları bir dizüstü bilgisayarı etiketlemeye yardımcı olur ve hiçbiri, bunlardan birini sunan dizüstü bilgisayarın onaylanmış cihaz olduğunu kanıtlamaz. Kabul, üç ayrı iddiaya dayanır: varlık kuruluşun kaydettiği varlıktır, istemci onun için verilen kimlik bilgisine sahiptir ve bu kimlik bilgisi politikanın gerektirdiği şekilde korunur. Bunları tek bir kontrolde birleştirmek, kopyalanmış dosyaların ve klonlanmış anahtarların sızma yoludur.

Tek bir kontrolde birleştirilen üç iddia

Envanter kaydı varlığı ve sahibini tanımlar. Kayıt, uygun kimlik bilgisini o kayda bağlar. Bağlantı sırasında VPN, yapılandırılmış yönteminin gerektirdiği kanıtı doğrular. Bir kayıt formuna yazılan seri numarası, o cihazın yetkisini otomatik olarak almamalıdır, çünkü form yalnızca birinin seri numarasını bildiğini kanıtlar. Üç adımı ayırın ve her biri kendi başına test edilebilir.

İşaret dosyası bir açıdan seri numarasından daha kötüdür: kopyalamak çok kolaydır ve her kopya aynı derecede ikna edici görünür.

Cihazın gerçekte ne sunduğuna bakın

Kimlik bilgisinin cihaza özgü olduğunu varsaymadan önce istemcinin gerçekte sakladığı kimlik bilgisine bakın.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Liste, hangi makine sertifikalarının bulunduğunu ve özel anahtarın olup olmadığını gösterir; bu, ortak bir dosya ile kullanılabilir bir kimlik bilgisi arasındaki farktır. Depo dökümü sağlayıcı adını ekler ve yazılım sağlayıcısı ile platform kripto sağlayıcısı arasındaki fark, anahtarın nerede yaşadığına dair ilk ipucudur. Özel anahtarı olmayan bir sertifika hiçbir şeyi doğrulamaz; başka bir makineye aktarılan özel anahtar ise kimlik bilgisini taşınabilir yapar, konusu ne derse desin. Görünen ad yerine parmak izini ve sağlayıcıyı kaydedin.

Donanım koruması kanıt gerektirir

Sertifika ortak bilgidir, bu yüzden anlamlı soru özel anahtarın nerede yaşadığı ve bu korumanın kanıtlanıp kanıtlanmadığıdır. TPM anahtar kanıtlaması, bir başvuranın sertifika otoritesine anahtarın güvenilir bir TPM tarafından korunduğunu kanıtlamasını tanımlar ve bu, başvuruda bir donanım sağlayıcısı adı vermekten daha güçlüdür. Aynı zamanda kendi güven varsayımları olan bir mimaridir, VPN istemcisinin varsayılan olarak açtığı bir şey değildir. Verenin neyi kabul ettiğini ve ağ geçidinin ortaya çıkan kimlik bilgisi konusunda neyi uyguladığını doğrulayın, çünkü depolama, kanıtlama ve kabul politikası üç bileşendir.

Donanımla desteklenen bir anahtar yine de yama düzeyi, mevcut atama veya oturumun nasıl kullanıldığı hakkında hiçbir şey söylemez. Bunlar kendi kontrollerini gerektirir.

Değişimi ve kaldırmayı somutlaştırın

Bir cihaz kaybolduğunda, onarıldığında, yeniden atandığında veya değiştirildiğinde ne olacağını planlayın. Anakart değişimi veya silinmiş bir anahtar deposu genellikle desteklenen bir yeniden kayıt gerektirir, özgün makineyi taklit etmek için eski sırları kopyalamak değil. Varlığı, kimlik bilgisi tanımlayıcısını, sahibini, kayıt kararını ve erişim rolünü birlikte kaydedin, böylece sonraki yönetici neyin neye ait olduğunu görsün. Ağ geçidinin gerçekte kabul ettiği yetkiyi kaldırın, çünkü envanter durumunu değiştirmek mevcut bir kimlik bilgisi veya oturum hakkında hiçbir şey kanıtlamaz.

Sonra sınırı test edin: onaylanmış cihaz bağlanır, yalnızca kopyalanmış etiket bağlanmaz ve kullanımdan kaldırılmış kimlik çalışmayı durdurur. approved adlı bir dosya, güvenilir bir süreç ona anlam verene kadar bir etiket olarak kalır.