Na koje validatore utiče dodatni korijenski certifikat?

Nađete korijenski certifikat kojem ondje nije mjesto, a prvo je pitanje čiji identitet može oponašati. Iskren odgovor ovisi o tome koji softver pregledava to spremište i kako vaš VPN provjerava svoj pristupnik. Preglednik, upravitelj paketa i VPN klijent s prikvačenim otiskom ne dijele nužno istu odluku o povjerenju. Mapirajte validatore prije nego odredite opseg.

Korijen u sistemskom spremištu nije univerzalni ključ

Instalacija korijena čini certifikate potpisane tim ključem prihvatljivima programima koji koriste zahvaćeno spremište. Ne čini ih automatski prihvatljivima svugdje jer neke aplikacije donose vlastiti paket ili provjeravaju prikvačenu vrijednost. To također ne dokazuje da je netko izvršio kod na računalu; promjena povjerenja jedna je od nekoliko mogućnosti. Tretirajte certifikat kao nalaz čiji opseg treba odrediti, a ne kao cijeli incident.

Spremište je jednako važno kao certifikat: paket na razini korisnika i sidro na razini sustava dosežu različite potrošače.

Mapirajte svaki validator i njegov izvor povjerenja

Zapišite svaku komponentu koja validira certifikate za zahvaćene tijekove rada: preglednik, upravitelj paketa, poštanski klijent, VPN. Zatim pronađite izvor povjerenja koji svaka od njih čita.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Popis direktorija prikazuje lokalno dodana sidra na sustavima poput Debiana, a popis povjerenja prikazuje što sistemsko spremište trenutačno izlaže. Preglednik s vlastitim spremištem neće se ondje pojaviti, a Java ili Python aplikacija može koristiti još jedan paket. Zabilježite koji su unosi očekivani, a koji nisu, koristeći otisak, a ne samo prikazano ime. Taj je popis ono što je potrebno osobi koja reagira na incident prije nego išta izbriše.

Provjerite vlastitu validaciju partnera u VPN-u

VPN s privatnim CA-om ili eksplicitnim otiskom procjenjuje pristupnik prema vlastitoj konfiguraciji. Usporedite što klijent očekuje s onim što pristupnik predstavlja.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Izlaz daje SHA-256 otisak i subjekt certifikata koji krajnja točka predstavlja, a možete ih usporediti s konfiguriranom vrijednošću. OpenVPN ima opciju otiska partnera koja tu usporedbu obavlja za tunel bez potrebe da sistemsko spremište prihvati potpisnika. Ta je neovisnost korisna za tunel i ne govori ništa o pregledniku. Također ne pomaže ako je očekivani otisak od početka kopiran sa sumnjive veze.

Odredite opseg incidenta izvan certifikata

Postupkom vlasnika uređaja uklonite neovlaštena sidra i potražite promjene koje ih obično prate: nove usluge, izmijenjene klijente, promijenjene postavke proxyja. Na upravljanom računalu potvrdite legitimnu konfiguraciju prije nego izbrišete materijal o kojem ovisi drugi softver. Za svaki validator zabilježite odakle dolazi njegovo povjerenje, koji identitet očekuje i kako ste potvrdili da je trenutačna konfiguracija ispravna. Radni tunel nakon čišćenja jedno je zapažanje, a ne dokaz da je krajnja točka čista.

Zatim ponovno testirajte tijekove rada koji su koristili spremište jer uklanjanje sidra može pokvariti internu uslugu koja se na njega legitimno oslanjala. Oporavak je dovršen kada očekivani odnosi povjerenja rade, a neočekivani ne.