Thẻ thiết bị không phải thông tin xác thực VPN: ba khẳng định cần tách bạch

Tên máy chủ, số sê-ri và các tệp đánh dấu ẩn giúp dán nhãn một máy tính xách tay, và không thứ nào trong đó chứng minh rằng chiếc máy tính xách tay xuất trình một trong số chúng là thiết bị đã được phê duyệt. Việc chấp nhận dựa trên ba khẳng định riêng biệt: tài sản là thứ mà tổ chức đã ghi nhận, máy khách sở hữu thông tin xác thực được cấp cho nó, và thông tin xác thực đó được bảo vệ như chính sách yêu cầu. Gộp chúng vào một lần kiểm tra chính là cách các tệp bị sao chép và khóa bị nhân bản lọt qua.

Ba khẳng định bị gộp thành một

Bản ghi kiểm kê mô tả tài sản và chủ sở hữu của nó. Việc đăng ký gắn thông tin xác thực phù hợp với bản ghi đó. Khi kết nối, VPN xác minh bằng chứng mà phương thức đã cấu hình yêu cầu. Một số sê-ri được gõ vào biểu mẫu đăng ký không nên tự động nhận được quyền của thiết bị đó, vì biểu mẫu chỉ chứng minh rằng ai đó biết số sê-ri. Hãy tách ba bước và mỗi bước có thể được kiểm tra riêng.

Tệp đánh dấu tệ hơn số sê-ri ở một điểm: sao chép nó rất dễ, và mọi bản sao đều trông đáng tin như nhau.

Xem thiết bị thực sự xuất trình điều gì

Hãy xem thông tin xác thực mà máy khách thực sự lưu trữ trước khi cho rằng nó dành riêng cho thiết bị.

Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Thumbprint, HasPrivateKey
certutil -store My <thumbprint>

Danh sách cho thấy những chứng chỉ máy nào tồn tại và có khóa riêng hay không, đây là khác biệt giữa một tệp công khai và một thông tin xác thực dùng được. Bản kết xuất kho lưu trữ thêm tên nhà cung cấp, và nhà cung cấp phần mềm so với nhà cung cấp mật mã nền tảng là manh mối đầu tiên về nơi khóa trú ngụ. Một chứng chỉ không có khóa riêng của nó thì không xác thực được gì, trong khi một khóa riêng được xuất sang máy khác khiến thông tin xác thực trở nên di động bất kể chủ thể của nó nói gì. Hãy ghi lại dấu vân tay và nhà cung cấp thay vì tên hiển thị.

Bảo vệ phần cứng cần bằng chứng

Chứng chỉ là thông tin công khai, nên câu hỏi có ý nghĩa là khóa riêng trú ở đâu và liệu sự bảo vệ đó đã được chứng thực chưa. Chứng thực khóa TPM mô tả một bên yêu cầu chứng minh với cơ quan chứng chỉ rằng một khóa được bảo vệ bởi TPM đáng tin cậy, điều này mạnh hơn việc nêu tên nhà cung cấp phần cứng trong yêu cầu. Đây cũng là một kiến trúc với các giả định tin cậy riêng, không phải thứ mà máy khách VPN bật theo mặc định. Hãy xác nhận nhà phát hành chấp nhận gì và cổng thực thi gì đối với thông tin xác thực thu được, vì lưu trữ, chứng thực và chính sách chấp nhận là ba thành phần.

Một khóa được phần cứng hỗ trợ vẫn không nói gì về mức bản vá, phân công hiện tại hay cách phiên được sử dụng. Những điều đó cần kiểm soát riêng.

Cụ thể hóa việc thay thế và thu hồi

Hãy lập kế hoạch cho điều xảy ra khi thiết bị bị mất, sửa chữa, phân công lại hoặc thay thế. Việc thay bo mạch chủ hoặc kho khóa bị xóa thường cần đăng ký lại có hỗ trợ thay vì sao chép bí mật cũ để bắt chước chiếc máy ban đầu. Ghi lại tài sản, định danh thông tin xác thực, chủ sở hữu, quyết định đăng ký và vai trò truy cập cùng nhau, để quản trị viên tiếp theo thấy cái gì thuộc về cái gì. Hãy gỡ bỏ quyền mà cổng thực sự chấp nhận, vì thay đổi trạng thái kiểm kê không chứng minh được gì về thông tin xác thực hay phiên đang tồn tại.

Sau đó hãy kiểm tra ranh giới: thiết bị đã phê duyệt kết nối được, một nhãn sao chép thì không, và danh tính đã nghỉ hưu ngừng hoạt động. Một tệp tên là approved vẫn là một nhãn cho đến khi một quy trình đáng tin cậy trao cho nó ý nghĩa.