Identidade do dispositivo do Flexxible Assist

Ao iniciar uma sessão do Flexxible Assist, o visualizador pode exibir este aviso no canto inferior direito:

A identidade do dispositivo mudou A chave de identidade deste dispositivo é diferente da registrada anteriormente. Isso é normal após uma reinstalação ou reimagem. Se você não esperava por isso, confirme o dispositivo antes de continuar.

O aviso não bloqueia nada. A sessão é estabelecida normalmente, a criptografia de ponta a ponta continua ativa e o operador pode fechá-lo assim que o tiver lido. Na maioria dos casos há uma explicação simples, como uma reinstalação ou uma estação virtual não persistente. Esta página explica o que o Flexxible Assist verifica, por que esse aviso existe e como interpretá-lo.

​

O que o Flexxible Assist verifica

Cada dispositivo com o Flexxible Assist gera sua própria chave de identidade na primeira vez que o agente é iniciado. A chave é criada no próprio dispositivo, armazenada nele e nunca sai de lá. A Flexxible não a emite nem a conhece.

• No Windows, ela é armazenada em C:\ProgramData\Flexxible\Assist, protegida com DPAPI no nível da máquina.
• No macOS, ela é armazenada em /Library/Application Support/com.flexxible.assist.
• No Linux, ela é armazenada em /var/lib/flexxible-assist.

Na primeira vez que um workspace se conecta ao serviço, o Flexxible Assist registra sua chave de identidade. A partir desse momento, cada conexão do mesmo workspace precisa demonstrar que ainda possui essa chave. Ao iniciar uma sessão, o visualizador faz duas verificações:

1. Verifica se o dispositivo assinou a troca de chaves da sessão com sua chave de identidade. Se a assinatura não for válida, o visualizador rejeita a sessão com a mensagem Não foi possível verificar a identidade do dispositivo.
2. Compara a chave com a que tinha registrada. Se for diferente, exibe este aviso e permite que a sessão continue.

​

Quando aparece

O aviso aparece quando a chave de identidade do dispositivo mudou desde a última vez que foi registrada. Depois que a nova chave é registrada, o aviso se repete em todas as sessões com esse dispositivo durante as 24 horas seguintes à mudança. Passado esse tempo, ele deixa de ser exibido até que a chave mude novamente. A primeira conexão de um dispositivo não exibe nenhum aviso. Nesse momento, não há chave anterior com a qual comparar.

​

Motivos comuns pelos quais o aviso pode aparecer

A chave fica no disco do dispositivo. Qualquer operação que substitua ou apague esse disco gera uma nova chave na próxima inicialização e, com ela, o aviso. Estes são os casos mais frequentes, e nenhum deles indica um problema:

• Reinstalação do Flexxible Assist. A desinstalação remove o diretório onde a chave é armazenada. Ao instalar novamente, o agente gera outra.
• Reimagem do dispositivo. Reimplantar a imagem corporativa, reinstalar o sistema operacional ou restaurar o equipamento para as configurações de fábrica.
• Restauração a partir de um backup ou snapshot. Se o backup for anterior ao momento em que a chave atual foi registrada, o dispositivo volta à chave antiga ou a nenhuma.
• Estações virtuais não persistentes. Cada inicialização parte da imagem base, então o agente gera uma nova chave toda vez. Nessas frotas, o aviso é normal e aparecerá em quase todas as sessões.
• Substituição de hardware. Trocar o disco ou a placa-mãe. No Windows, além disso, a chave está vinculada à máquina por meio do DPAPI: se a máquina mudar, o arquivo não pode mais ser lido e o agente cria uma nova chave.

​

Motivos que vale a pena revisar

Se o aviso aparecer e não se encaixar em nenhuma das situações anteriores, vale a pena dedicar um minuto a ele:

• Dois dispositivos com o mesmo identificador de workspace. Isso acontece, por exemplo, com uma máquina clonada sem generalização. Cada uma tem sua própria chave de identidade e, cada vez que uma diferente se conecta, o aviso reaparece. Enquanto uma das duas está conectada, o serviço rejeita a conexão da outra, então você também notará que o dispositivo fica online e offline.
• O aviso se repete por dias em um dispositivo que ninguém reinstalou. Isso geralmente indica que o agente não consegue salvar sua chave no disco, por exemplo por um problema de permissões no diretório, e por isso gera uma nova a cada inicialização.
• Ninguém sabe explicar a mudança. Uma mudança de identidade que não condiz com o histórico do dispositivo pode ser uma tentativa de falsificação de identidade. É pouco provável, mas é justamente o caso para o qual este aviso existe.

​

O que fazer ao ver o aviso

1. Verificar se há uma causa conhecida: reinstalação, reimagem, restauração ou estação virtual não persistente. Se houver, fechar o aviso e continuar normalmente.
2. Se não houver, confirmar que o dispositivo é o esperado. Perguntar ao usuário que está diante dele ou verificar no Flexxible Portal o nome do equipamento, a última inicialização e o inventário.
3. Em caso de dúvida, encerrar a sessão e abrir um chamado com o suporte da Flexxible, informando o workspace e a impressão digital de identidade exibida no aviso.

​

A impressão digital de identidade

Abaixo do texto, o aviso exibe a impressão digital de identidade: os primeiros caracteres do resumo SHA-256 da chave pública do dispositivo. A impressão digital identifica a chave, não o dispositivo, e muda toda vez que a chave muda. Não é uma informação confidencial. Sua utilidade é servir de referência. Se você abrir um chamado, inclua a impressão digital exatamente como aparece no aviso: o suporte da Flexxible pode compará-la com o registro do serviço e confirmar quando a mudança ocorreu e a partir de qual chave.

​

Perguntas frequentes

É possível desativar o aviso? Não. Ele faz parte da verificação de identidade do Flexxible Assist e não tem nenhuma opção de configuração. Em contrapartida, não bloqueia a sessão e é fechado com um clique. A sessão é menos segura quando ele aparece? Não. A criptografia de ponta a ponta é negociada da mesma forma e o visualizador verificou que o dispositivo assina com a chave que apresenta. O que o aviso indica é que essa chave não é a mesma da última vez. Por que ele não aparece na primeira conexão? Porque não há nenhuma chave anterior com a qual comparar. Um aviso de “primeira conexão” não acrescenta nada ao operador e acostumaria todos a fechar avisos sem lê-los. Por que ele aparece em todas as sessões e não apenas na primeira após a mudança? Porque o operador que abre a primeira sessão após uma reimagem nem sempre é o mesmo que abre a segunda. Durante 24 horas, qualquer operador que se conectar verá o aviso; depois disso, ele deixa de ser exibido. O que acontece se dois dispositivos com a mesma identidade se conectarem ao mesmo tempo? O serviço aceita o primeiro e rejeita o segundo enquanto o primeiro continuar conectado. Somente quando o primeiro se desconecta o outro pode entrar e, nesse momento, sua chave substitui a registrada.