PIV oturum açma Windows EAP-TLS'te başarısız mı? İmzalama yolunu denetleyin

Bir PIV kartının sertifikasını her Windows iletişim kutusunda gösterin ve VPN oturum açma yine de başarısız olabilir, çünkü görünürlük ve kullanılabilirlik farklı özelliklerdir. Sertifika genel bir nesnedir; oturum açma, kartın kendi erişim kurallarına göre yaptığı bir özel anahtar işlemi gerektirir. Bu iki gerçeğin arasında dört farklı biçimde başarısız olan dört aşama vardır: profil seçimi, sertifika seçimi, yerel imzalama ve sunucu tarafı doğrulama. Bunları sırayla geçmek, genel bir el sıkışma hatasını sonraki parçanın sahibi için somut bir soruya dönüştürür.

Profil ve EAP yöntemiyle başlayın

Bağlantının özelliklerini açın ve profilin gerçekte hangi EAP yöntemini kullandığını okuyun, ardından yöntemin hangi sertifikayı seçmek üzere yapılandırıldığını okuyun. Birçok kurulumda hem sertifikaya dayalı bir dış yöntem hem de bir iç yöntem bulunur ve bağlantı düzeyinde yapılandırılan sertifika, EAP-TLS içinde sunulan sertifika değildir. Profil sertifikayı veren kuruluşa veya bir konu filtresine göre seçiyorsa, bu filtre Windows'un ilgili depoda gördüklerinden seçer, kartın rastlantısal olarak içerdiklerinden değil. Hiçbir şeyle eşleşmeyen bir filtre, profilin yapılandırmasına bağlı olarak bir isteme veya sessiz bir başarısızlığa düşer, bu yüzden seçilen parmak izini herhangi bir değişiklikten önce kaydetmek yararlıdır.

Bağlantının oturum açmış kullanıcı olarak mı yoksa makine olarak mı çalıştığını da belirleyin. Bu tek gerçek, hangi sertifika depolarının kapsamda olduğunu ve imzayı hangi güvenlik bağlamının yaptığını belirler.

Hangi sertifikanın seçildiğini doğrulayın

Windows'un seçtiği parmak izini gereksinimle karşılaştırın: istemci kimlik doğrulaması için kullanım, güvenilen bir kökte sonlanan zincir, kimlik doğrulama sunucusunun ilkesinin eşlediği bir kimlik ve denemenin gerçek anını kapsayan bir geçerlilik dönemi. Bunlar ayrı denetimlerdir ve sonuncusu insanların beklediğinden daha çok sürpriz yakalar; özellikle döner biçimde verilen sertifikalarda ve hâlâ dünkü seçimi gösteren önbelleğe alınmış profillerde.

Kullanıcı ve makine bağlamı denetimin diğer yarısıdır. Kullanıcının kişisel deposundaki bir sertifika makine olarak çalışan bir hizmete görünmez ve makine sertifikası, profil aksini söylemedikçe kullanıcı modundaki bir EAP alışverişiyle sunulmaz. Bir sertifikayı yanlış depoya yeniden aktarmak görünür bir sertifika ve görünmez bir oturum açma kimlik bilgisi üretir. Profildeki depo yolunu okuyun, rastlantısal olarak açılan iletişim kutusundakini değil.

PIN'i tahmin etmeden anahtar işlemini test edin

Seçim kesinleştikten sonra soru, kartın imzayı yapıp yapmayacağıdır. Windows'un özel anahtara ulaşmak için desteklenen bir kart sağlayıcısına veya mini sürücüye ihtiyacı vardır ve aygıt işleme kendi PIN ve varlık kurallarını uygular. Her imza için dokunma isteyen bir kart, bir oturum için doğrulamayı önbelleğe alan karttan farklı davranır ve ikisi de istemin ne zaman görüneceğini değiştiren meşru yapılandırmalardır. Bu fark, yeni takıldığında başarılı olan ve uykudan döndükten sonra başarısız olan bir oturum açmayı, hiçbir sertifika yanlış olmadan açıklar.

certutil.exe -scinfo
certutil.exe -store -user My
Get-WinEvent -LogName Application -MaxEvents 40 | Where-Object ProviderName -like '*Ras*'

İlk komut kartı envanterler ve okuyucu ile sağlayıcı durumunu bildirir; bu, Microsoft'un akıllı kart hata ayıklama kılavuzunda belgelenmiştir. İkincisi kullanıcı bağlamının gerçekte ne görebildiğini listeler. Hiçbiri başarılı bir kimlik doğrulamayı kanıtlamaz; ikisi de nerede durduğunu daraltır.

PIN'i tahmin etmeyin. Kartlar yeniden deneme sınırları uygular ve birkaç iyimser deneme, bir izin sorununu yönetici kurtarması gerektiren kilitli bir kimlik bilgisine dönüştürür. Yerel bir imza başarısız olursa, varyantlar denemek yerine sağlayıcı durumunu ve kart durumunu kaydedin. Denemeyi aynı profil, aynı sertifika ve bilinen iyi bir okuyucu yoluyla bir kez yineleyin, ardından iki kaydı karşılaştırın; birkaç değişkeni birden değiştirmek sonuç değil hikâye üretir.

El sıkışmanın iki tarafını da okuyun

Tamamlanmış bir imza hâlâ kabul değildir. Kimlik doğrulama sunucusu zinciri kabul etmeli, iptali denetlemeli, kimliği güncel kurallarına göre eşlemeli ve isteği yetkilendirmelidir; istemci ise sunucunun sertifikasını profilin gerektirdiği gibi doğrulamalıdır. Sunucunun ürettiği bir TLS uyarısı, istemcinin günlüğünde yerel olarak üretilenle aynı görünür, bu yüzden uyarıyı yayan taraf metninden daha önemlidir.

Windows olaylarını ve sunucu tarafındaki olayları hizalanmış zaman damgalarıyla toplayın, ardından ilk başarısızlığı hangi tarafın ürettiğini belirleyin. RFC 5216, EAP-TLS'teki sahiplik kanıtı adımını açıklar ve genel bir el sıkışma uyarısı tek başına yerel bir anahtar nedenini adlandırmaz. İki günlüğü bir dizine dönüştüren şey zaman damgalarının karşılaştırılmasıdır.

Raporda sınırları düzgün tutun

Raporu her biri tek bir hüküm içeren dört aşama olarak yazın: hangi profil ve bağlam çalıştı, Windows hangi sertifikayı seçti, kart imzaladı mı ve sunucu ne karar verdi. Bu yapı sonraki adımı apaçık kılar ve kimsenin tanımlamadığı bir aşamayı geçmek için doğrulamayı kapatma biçimindeki yaygın onarımı önler.

Geçici bir karşılaştırma olarak yazılım sertifikası meşru bir yönetici testidir, ancak kimlik bilgisi ve güvence modelini değiştirir, bu yüzden sessiz bir üretim çözümü yerine onaylanmış bir değişikliğe aittir. Aynı disiplin PIN denemeleri ve başarısız aşama bilinmeden önce kimlik bilgilerinin yeniden verilmesi için de geçerlidir. Aynı biçimde başarısız olan bir yedek kart, sorunun hiçbir zaman kartta olmadığının pahalı kanıtıdır.