أي المدققات تتأثر بشهادة جذر إضافية؟

تعثر على شهادة جذر لا يجب أن تكون موجودة، وأول سؤال هو ما يمكنها انتحال هويته. الإجابة الصادقة تعتمد على البرمجيات التي تستشير ذلك المخزن وعلى كيفية تحقق الـ VPN من بوابته. المتصفح ومدير الحزم وعميل VPN ببصمة مثبّتة لا يتشاركون بالضرورة قرار الثقة نفسه. حدّد المدققات قبل أن تقرر النطاق.

جذر في مخزن النظام ليس مفتاحاً عالمياً

تثبيت جذر يجعل الشهادات الموقّعة بذلك المفتاح مقبولة لدى البرامج التي تستخدم المخزن المتأثر. لكنه لا يجعلها مقبولة في كل مكان تلقائياً، لأن بعض التطبيقات تأتي بحزمتها الخاصة أو تتحقق من قيمة مثبّتة. ولا يثبت أيضاً أن أحداً شغّل تعليمات برمجية على الجهاز؛ فتغيير الثقة قدرة واحدة بين عدة قدرات. تعامل مع الشهادة كدليل يحتاج إلى تحديد نطاق، لا كالحادث بأكمله.

المخزن لا يقل أهمية عن الشهادة: فحزمة على مستوى المستخدم ومرساة على مستوى النظام تصلان إلى مستهلكين مختلفين.

حدّد كل مدقق ومصدر ثقته

اكتب كل مكوّن يتحقق من الشهادات في سير العمل المتأثر: المتصفح، ومدير الحزم، وعميل البريد، والـ VPN. ثم اعثر على مصدر الثقة الذي يقرأه كل واحد منها.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

تُظهر قائمة الدليل المراسي المضافة محلياً على الأنظمة على طريقة Debian، بينما تُظهر قائمة الثقة ما يعرضه مخزن النظام حالياً. أما المتصفح الذي يملك مخزنه الخاص فلن يظهر هناك، وقد يستخدم تطبيق Java أو Python حزمة أخرى. سجّل أي المدخلات متوقعة وأيها ليس كذلك، مستعيناً بالبصمة لا بالاسم المعروض وحده. تلك القائمة هي ما يحتاجه محقق الحوادث قبل حذف أي شيء.

تحقّق من التحقق الخاص بالنظير في الـ VPN نفسها

الـ VPN التي تملك جهة CA خاصة أو بصمة صريحة تقيّم البوابة وفق إعداداتها الخاصة. قارن ما يتوقعه العميل بما تقدمه البوابة.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

يعطي المخرج بصمة SHA-256 وموضوع الشهادة التي تقدمها النقطة الطرفية، ويمكنك مقارنتهما بالقيمة المهيّأة. OpenVPN يتيح خيار بصمة النظير فيها إجراء تلك المقارنة للنفق دون أن يضطر مخزن النظام إلى قبول الموقّع. هذا الاستقلال مفيد للنفق ولا يقول شيئاً عن المتصفح. كما أنه لا يفيد إذا كانت البصمة المتوقعة قد نُسخت من الاتصال المشبوه أصلاً.

حدّد نطاق الحادث بما يتجاوز الشهادة

استخدم إجراءات مالك الجهاز لإزالة المراسي غير المصرح بها والبحث عن التغييرات التي ترافقها عادة: خدمات جديدة، وعملاء معدّلون، وإعدادات وكيل مغيّرة. على جهاز مُدار، تحقّق من الإعداد المشروع قبل حذف مواد تعتمد عليها برمجيات أخرى. ولكل مدقق، سجّل من أين تأتي ثقته، وأي هوية يتوقع، وكيف تأكدت من صحة الإعداد الحالي. وجود نفق عامل بعد التنظيف ملاحظة واحدة، وليس دليلاً على أن النقطة الطرفية نظيفة.

ثم أعد اختبار سير العمل الذي استخدم المخزن، لأن إزالة مرساة قد تعطّل خدمة داخلية كانت تعتمد عليها بشكل مشروع. يكتمل التعافي عندما تعمل علاقات الثقة المتوقعة ولا تعمل غير المتوقعة.