Köhnəlmiş VPN sertifikatını etibarlılıq anbarından necə silmək olar

VPN müştəriniz silinib, profil Tənzimləmələrdən yox olub, amma tunel hələ də köhnə etimad məlumatları ilə açılır. Ya da silirsiniz, yenidən başladırsınız və səhər onu yenidən tapırsınız. Bunların heç biri pozulmuş silmə düyməsi deyil. Profil konfiqurasiyadır; sertifikat isə açar materialı və profilin yalnız işarə etdiyi anbarda qeydə alınmış etibarlılıq qərarıdır. Əlinizdə hansının olduğu 'silmə'nin nə deməli olduğunu müəyyən edir.

Profil sertifikat deyil

VPN quraşdırmasında üç fərqli obyekt 'sertifikat' adlanır. Müştəri kimliyi şəxsi açarı olan son sertifikatdır və şlüz ondan kim olduğunuzu müəyyən etmək üçün istifadə edir. Serverin öz son sertifikatı və ara sertifikatı müştərinizin qoşularkən yoxladığı şeylərdir. Etibarlılıq lövbəri, adətən kök və ya şəxsi CA sertifikatı, zənciri ümumiyyətlə yoxlanıla bilən edən şeydir. RFC 5280 bunları etibarlılıq lövbəri, ara sertifikat və son varlıq adlandırır və zəncir yalnız hər bənd özündən aşağıdakını imzaladıqca doğrulanır.

Kimliyi silin, bir cihaz girişi itirir. Lövbəri silin və həmin anbara qarşı yoxlama aparan hər tətbiq onun altında verilmiş hər şeyi yoxlama qabiliyyətini itirir, o cümlədən VPN ilə heç bir əlaqəsi olmayan bağlantılar. Bu asimmetriya bütün riskdir: bir şlüz üçün quraşdırılmış kök çox vaxt daxili portalı, poçt serverini və ya paket güzgüsünü imzalayan eyni kökdür. Hansının əlinizdə olduğunu yadda saxlayın.

Sahiblik silinmənin silinmiş qalıb-qalmayacağını müəyyən edir. Sahibi olduğunuz noutbukda sertifikatı yalnız siz geri qoya bilərsiniz. İdarə olunan cihazda konfiqurasiya profili və ya MDM yükləməsi onu növbəti qeydiyyatda yenidən quraşdıra bilər; buna görə 'geri qayıdır' və buna görə daha sərt silmək kömək etmir.

Hansı anbarın hələ də onu saxladığını tapın

İnsanlar Tənzimləmələr tətbiqindən başlayır, halbuki sertifikat məhz orada saxlanmır. Əsl yerlər OS-un etibarlılıq anbarları, brauzerin öz anbarı və tətbiqin şəxsi anbarıdır.

Seriya nömrəsi və ya barmaq izinə görə uyğunlaşdırın, heç vaxt göstərilən ada görə yox. Göstərilən adları sertifikatı verən şəxs qoyur və onlar təkrar istifadə olunur: 'Example VPN' üç fərqli açarlı üç sertifikat ola bilər, biri hələ gündəlik istifadədədir.

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

macOS-da security aləti eyni faktları verir və find-identity hansı sertifikatların hələ şəxsi açarının bağlı olduğunu göstərir:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

Dar obyekti silin, ortaq verəni saxlayın

Silməzdən əvvəl ixrac edin. Ehtiyat nüsxə olmadan yeganə bərpa yenidən verməkdir, bu isə şəxsi CA-da PKI-ni idarə edənə qayıtmaq deməkdir. İxrac edilmiş PFX həm də silinmənin səhv qərar olduğu ortaya çıxarsa təhvil verdiyiniz şeydir.

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

Bu -user işarəsini insanlar təsadüfən unudur. O olmadan certutil maşın anbarında işləyir, bu isə yüksəldilmiş shell, fərqli sertifikat dəsti və artıq maşındakı hər digər hesabı əhatə edən təsir radiusu deməkdir.

macOS və Linux-da forma eynidir: müəyyən edin, ixrac edin, sonra simptomu izah edən ən dar anbardan silin. /usr/local/share/ca-certificates altındakı faylı silmək və update-ca-certificates yenidən işə salmaq kifayətdir; --fresh yalnız /etc/ssl/certs daxilindəki simvolik keçidləri artıq uyğunsuz olduqda kömək edir. RHEL ailəsi sistemləri lövbərləri /etc/pki/ca-trust/source/anchors-də saxlayır, burada trust anchor --remove eyni işi görür.

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

CA sertifikatını silməzdən əvvəl ona başqa nəyin zəncirləndiyini yoxlayın. Paketdəki subyektləri sadalamaq iki sətirlik yoxlamadır və o lövbərin başqa iş görüb-görmədiyini cavablandırır:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

Faylı silmək kimliyi ləğv etmək deyil

Lokal silmə bir nüsxəni aradan qaldırır. Şəxsi açar hələ də köhnə bilettə əlavə edilmiş p12-də, ehtiyat qovluğunda və ya eyni vaxtda qurulmuş ikinci noutbukda ola bilər. Əgər bu müştəri kimliyi idisə, şlüz həmin açarın hər hansı nüsxəsini server tərəfində kimlik rədd edilənə qədər qəbul etməyə davam edir.

Bir OpenVPN PKI üçün bu, sertifikatı ləğv etmək və crl-verify tərəfindən istinad edilən CRL-in aktual olduğuna əmin olmaq deməkdir; easyrsa revoke sonra easyrsa gen-crl qısa versiyadır. Kimlik provayderinə bağlı şlüz üçün istifadəçini orada deaktiv edin və ya cihazı çıxarın, çünki sertifikat oyundakı etimad məlumatlarından yalnız biridir. Hesab aktiv qalarkən lokal nüsxəni silmək təmizliyə bənzəyir, amma deyil.

İnsident işinin fərqli sırası var: əvvəlcə sertifikatı, onun seriya nömrəsini və ləğv qeydini qoruyun, sonra silin və ləğv edin. Bu qeydlər heç bir şeyə başa gəlmir və işlək etimad məlumatını yerində saxlamayı tələb etmir.

Əl sıxışması və ikinci tətbiqlə yoxlayın

Zənciri xaricdən yoxlayın, indicə redaktə etdiyiniz anbar siyahısından yox. Anbar sizin redaktənizi göstərir; əl sıxışması nəticəni göstərir.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

0 qaytarma kodu qalan lövbərlərin hələ də şlüzü doğruladığını bildirir. Lövbəri sildikdən sonra zəncir xətası gözlənilən nəticədir və onun müştərinin heç vaxt oxumadığı anbardakı dublikat deyil, istifadədə olan lövbəri vurduğunuzu təsdiqləyir. Əgər bağlantı hələ də işləyirsə, ikinci nüsxə, tətbiqə birləşdirilmiş anbar və ya bərkidilmiş sertifikat axtarın; bunların hamısı öz etibarlılıq siyahısını gətirən müştərilərdə geniş yayılmışdır.

Sonra əlaqəsiz bir şeyi sınaqdan keçirin: daxili sayt, poçt müştərisi, paket güzgüsü. Bu, dəyişiklik pəncərəsi bağlanmazdan əvvəl təsir radiusunu ucuz qiymətə ölçür.

• Rol kimlik, ara sertifikat və ya etibarlılıq lövbəri kimi müəyyən edildi
• Seriya nömrəsi və barmaq izi qeydə alındı və nüsxə təsdiqlənmiş yerə ixrac edildi
• Silmə simptomu izah edən ən dar əhatədə aparıldı
• Şəxs və ya cihaz ayrılanda server tərəfində avtorizasiya ləğv edildi
• Əl sıxışması izah edildi və bir əlaqəsiz tətbiq yenidən sınandı
• MDM yükləməsi və ya idarəetmə profili yeniləndi, əks halda sertifikat qayıdır

Sertifikat yenidən başlatmadan sonra geri qayıdıbsa, iş bitməyib: onu nəsə sahiblənir və yenidən quraşdırır. Yenidən silməzdən əvvəl o sahibi tapın, çünki üçüncü silmə ilk ikisi ilə tam eyni davranacaq.