Windows 2008 PKI combat 2: registro y roaming

(continuación) En el pasado, la autoinscripción era parte del proceso WINLogoN en Windows, exponiéndolo a más ataques. De hecho, todos los servicios de Windows NT se han rediseñado como una tarea de WMI. Esto significa que los componentes de Windows Vista y Windows Server 2008 no tendrán tantas vulnerabilidades como Windows Server 2003 y Windows XP.

También se agrega la función de notificación previa antes de que caduque el certificado. En otras palabras, es para notificar al usuario cuando un certificado está a punto de terminar o ha terminado. Un escenario relacionado es cuando la inscripción automática no está habilitada, la computadora no puede actualizar o registrar automáticamente un certificado en nombre del usuario.

Roaming de credenciales

Como se mencionó anteriormente, el roaming de credenciales se introdujo en Windows Server 2003 SP1 y ahora es parte integral de Windows Server 2008.

El propósito del roaming de credenciales es reducir la duplicación de credenciales para diferentes computadoras, lo que copia la clave de cifrado a la computadora del usuario a través de Active Directory.

Cuando un usuario inicia sesión en la computadora, la información de autenticación se envía al servidor donde se intercambian las claves públicas y privadas. Por lo general, las credenciales del usuario se transferirán entre estaciones de trabajo mediante el uso de un perfil móvil, lo que provoca un aumento de la carga.

Por credencial de roaming, las claves públicas y privadas del usuario seguirán el objeto de Active Directory del usuario, independientemente de la computadora que utilicen. Para usuarios activos o en itinerancia, esto mejora la protección del correo electrónico, la autenticación del usuario y la capacidad de implementar tarjetas inteligentes.

Demostración del registro y roaming de credenciales

En Windows Server 2008, la interfaz de usuario registrado se ha mejorado mucho. Al mismo tiempo, se mejora la facilidad de uso, la flexibilidad y el apoyo. En aras de la simplicidad, registraremos un nuevo certificado de la misma computadora, nuestro servidor de CA. Normalmente, podemos registrarnos desde cualquier computadora o servidor en el dominio. Abrimos el certificado MMC. La carpeta personal ubicada en nuestro árbol de usuario de certificado actual mostrará todos los certificados actuales para ese usuario. Como se muestra en la Figura 14.

En esta demostración, vamos a solicitar un nuevo certificado de usuario. Podemos hacerlo a través del menú Acción. La interfaz de usuario registrado nos ofrece muchas opciones nuevas en comparación con las versiones anteriores. Solo configuraremos el servidor para aceptar algunos tipos diferentes de autenticación, pero podemos ver estas opciones disponibles incluso si no se están utilizando. Como se muestra en la Figura 15.

podemos asignar el certificado directamente a un ordenador. Esta no es una opción predeterminada porque las credenciales están en itinerancia. Como se muestra en la Figura 16.
opción de usuario de vista de detalles se pueden expandir y antes de crear el certificado. La ventana Propiedades del certificado nos dará una mayor personalización del certificado antes de enviarlo.

Podemos asignar un nombre de prueba al certificado si necesitamos identificarlo más adelante. Como se muestra en la Figura 17. La columna Asunto nos da la oportunidad de asignar un atributo específico al certificado del usuario. El titular de la clave privada asociada con el certificado se denomina sujeto. Puede ser un usuario, un programa o cualquier objeto o servicio que sea virtual. Porque dependiendo de quién o qué tema es, hay cierta flexibilidad para proporcionar el nombre del sujeto al solicitar un certificado. Windows genera automáticamente el nombre del tema o lo solicita manualmente desde el tema. Si proporciona automáticamente el nombre del sujeto, Windows obtiene esta información de Active Directory. El nombre puede ser cualquier objeto desde el nombre del correo electrónico hasta la unidad organizativa especificada. Como se muestra en la Figura 18.

columna

extensiones de un certificado de utilizar un tipo especial de extensión. Cada una de estas opciones puede ser editada. El uso clave nos permite hacer modificaciones menores a esta configuración. Como se muestra en la Figura 19.

básicos Restricciones detalles pueden ser modificados. Como se muestra en la Figura 20.

privada columna de clave muestra las opciones de configuración que hemos autoridad de certificación. Las opciones en estas entradas también se pueden personalizar según las funciones que desee. Como se muestra en la Figura 21.

barra de autoridad de certificación simplemente confirmar primero de los cuales CA Encontrar requisitos clave. Como se muestra en la Figura 22.

Finalmente, hemos sido capaces de registrar el certificado, como se muestra en la Fig. Se guardará en la computadora local. Estos certificados se pueden ver a través del certificado MMC.

para el despliegue de infraestructura de PKI, los servicios de certificado en la manejabilidad y facilidad de uso se han mejorado.