Watter valideerders raak 'n ekstra wortelsertifikaat?

Jy vind 'n wortelsertifikaat wat nie daar hoort nie, en die eerste vraag is wat dit kan naboots. Die eerlike antwoord hang daarvan af watter sagteware daardie stoor raadpleeg en hoe jou VPN sy gateway valideer. 'n Blaaier, 'n pakketbestuurder en 'n VPN-kliënt met 'n vasgepen vingerafdruk deel nie noodwendig 'n trust-besluit nie. Karteer die valideerders voordat jy die omvang bepaal.

'n Wortel in die stelselstoor is nie 'n universele sleutel nie

Om 'n wortel te installeer maak sertifikate wat deur daardie sleutel onderteken is aanvaarbaar vir programme wat die betrokke stoor gebruik. Dit maak hulle nie outomaties oral aanvaarbaar nie, want sommige toepassings bring hul eie bondel saam of kontroleer 'n vasgepen waarde. Dit bewys ook nie dat iemand kode op die masjien laat loop het nie; 'n trust-verandering is een vermoë onder verskeie. Behandel die sertifikaat as 'n bevinding om die omvang te bepaal, nie as die hele voorval nie.

Die stoor maak net so veel saak soos die sertifikaat: 'n bondel op gebruikervlak en 'n stelselwye anker bereik verskillende verbruikers.

Karteer elke valideerder en sy trust-bron

Skryf elke komponent neer wat sertifikate vir die betrokke werkvloei valideer: blaaier, pakketbestuurder, e-poskliënt, VPN. Vind dan die trust-bron wat elkeen lees.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Die gidslys wys ankers wat plaaslik bygevoeg is op Debian-tipe stelsels, en die trust-lys wys wat die stelselstoor tans blootstel. 'n Blaaier met sy eie stoor sal nie daar verskyn nie, en 'n Java- of Python-toepassing mag nog 'n ander bondel gebruik. Teken aan watter inskrywings verwag word en watter nie, met die vingerafdruk eerder as net die vertoonnaam. Daardie lys is wat 'n voorvalreageerder nodig het voordat enigiets uitgevee word.

Kontroleer die VPN se eie portuurvalidasie

'n VPN met 'n private CA of 'n eksplisiete vingerafdruk evalueer die gateway teen sy eie konfigurasie. Vergelyk wat die kliënt verwag met wat die gateway bied.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Die uitset gee die SHA-256-vingerafdruk en onderwerp van die sertifikaat wat die eindpunt bied, wat jy met die gekonfigureerde waarde kan vergelyk. OpenVPN se portuur-vingerafdruk-opsie voer daardie vergelyking vir die tonnel uit sonder dat die stelselstoor die ondertekenaar hoef te aanvaar. Daardie onafhanklikheid is nuttig vir die tonnel en sê niks oor die blaaier nie. Dit help ook nie as die verwagte vingerafdruk in die eerste plek van die verdagte verbinding gekopieer is nie.

Bepaal die omvang van die voorval verder as die sertifikaat

Gebruik die toestelbestuurder se prosedure om ongemagtigde ankers te verwyder en te soek na die veranderinge wat gewoonlik daarmee saamgaan: nuwe dienste, gewysigde kliënte, veranderde proxy-instellings. Op 'n bestuurde masjien bevestig jy die wettige konfigurasie voordat jy materiaal verwyder waarvan ander sagteware afhang. Teken vir elke valideerder aan waar sy trust vandaan kom, watter identiteit hy verwag, en hoe jy bevestig het dat die huidige konfigurasie korrek is. 'n Werkende tonnel ná die opruiming is een waarneming, nie 'n bewys dat die eindpunt skoon is nie.

Herhaal dan die toetse van die werkvloei wat die stoor gebruik het, want die verwydering van 'n anker kan 'n interne diens breek wat wettig daarop staatgemaak het. Herstel is voltooi wanneer die verwagte trust-verhoudings werk en die onverwagte nie.