Əlavə kök sertifikatı hansı yoxlayıcılara təsir edir?

Orada olmamalı olan bir kök sertifikatı tapırsınız və ilk sual onun kimin adından çıxış edə biləcəyidir. Dürüst cavab hansı proqramın həmin anbara müraciət etməsindən və VPN-inizin şlüzü necə yoxlamasından asılıdır. Brauzer, paket meneceri və bərkidilmiş barmaq izi olan VPN klienti mütləq eyni etimad qərarını paylaşmır. Əhatə dairəsini müəyyən etməzdən əvvəl yoxlayıcıları xəritələyin.

Sistem anbarındakı kök universal açar deyil

Kök quraşdırmaq həmin açarla imzalanmış sertifikatları təsirlənən anbarı istifadə edən proqramlar üçün məqbul edir. Bu, onları avtomatik hər yerdə məqbul etmir, çünki bəzi tətbiqlər öz paketini gətirir və ya bərkidilmiş dəyəri yoxlayır. Bu həm də kiminsə maşında kod işlətdiyini sübut etmir; etimad dəyişikliyi bir neçə imkandan yalnız biridir. Sertifikata bütün hadisə kimi deyil, əhatəsi müəyyən edilməli bir tapıntı kimi yanaşın.

Anbar sertifikat qədər vacibdir: istifadəçi səviyyəli paket və sistem miqyaslı lövbər fərqli istehlakçılara çatır.

Hər yoxlayıcını və onun etimad mənbəyini xəritələyin

Təsirlənən iş axınları üçün sertifikatları yoxlayan hər komponenti yazın: brauzer, paket meneceri, poçt klienti, VPN. Sonra hər birinin oxuduğu etimad mənbəyini tapın.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Kataloq siyahısı Debian tipli sistemlərdə yerli əlavə edilmiş lövbərləri göstərir, etimad siyahısı isə sistem anbarının hazırda nə təqdim etdiyini göstərir. Öz anbarı olan brauzer orada görünməyəcək, Java və ya Python tətbiqi isə başqa bir paket istifadə edə bilər. Hansı qeydlərin gözlənildiyini, hansıların gözlənilmədiyini yalnız ekran adına deyil, barmaq izinə əsaslanaraq qeyd edin. Bu siyahı hadisə mütəxəssisinin hər hansı bir şeyi silməzdən əvvəl ehtiyac duyduğu şeydir.

VPN-in öz peer yoxlamasını yoxlayın

VPN, şəxsi CA və ya açıq barmaq izi ilə şlüzü öz konfiqurasiyasına görə qiymətləndirir. Müştərinin gözlədiyi ilə şlüzün təqdim etdiyi şeyi müqayisə edin.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Çıxış, son nöqtənin təqdim etdiyi sertifikatın SHA-256 barmaq izini və subyektini verir; bunları konfiqurasiya edilmiş dəyərlə müqayisə edə bilərsiniz. OpenVPN proqramının peer-barmaq-izi seçimi bu müqayisəni tunel üçün yerinə yetirir və sistem anbarından imzalayanı qəbul etməyi tələb etmir. Bu müstəqillik tunel üçün faydalıdır və brauzer barədə heç nə demir. Gözlənilən barmaq izi əvvəlcədən şübhəli bağlantıdan köçürülübsə, bu da kömək etmir.

Hadisənin əhatəsini sertifikatdan kənara çıxarın

Cihaz sahibinin prosesindən istifadə edərək icazəsiz lövbərləri silin və onlarla adətən gələn dəyişiklikləri axtarın: yeni xidmətlər, dəyişdirilmiş klientlər, dəyişdirilmiş proksi parametrləri. İdarə olunan maşında başqa proqramların asılı olduğu materialı silməzdən əvvəl qanuni konfiqurasiyanı təsdiqləyin. Hər yoxlayıcı üçün onun etimadının haradan gəldiyini, hansı kimliyi gözlədiyini və cari konfiqurasiyanın düzgün olduğunu necə təsdiqlədiyinizi qeyd edin. Təmizlikdən sonra işləyən tunel bir müşahidədir, son nöqtənin təmiz olmasının sübutu deyil.

Sonra anbardan istifadə edən iş axınlarını yenidən sınaqdan keçirin, çünki lövbərin silinməsi qanuni olaraq ona güvənən daxili xidməti poza bilər. Bərpa, gözlənilən etimad münasibətləri işləyəndə və gözlənilməyənlər işləməyəndə tamamlanmış sayılır.