Quins validadors afecta un certificat arrel addicional?

Trobeu un certificat arrel que no hi hauria de ser, i la primera pregunta és quina identitat pot suplantar. La resposta honesta depèn de quin programari consulta aquest magatzem i de com la vostra VPN verifica la seva passarel·la. Un navegador, un gestor de paquets i un client VPN amb una empremta fixada no comparteixen necessàriament una mateixa decisió de confiança. Mapeu els validadors abans de decidir l'abast.

Una arrel al magatzem del sistema no és una clau universal

Instal·lar una arrel fa que els certificats signats amb aquesta clau siguin acceptables per als programes que utilitzen el magatzem afectat. No els fa acceptables automàticament a tot arreu, perquè algunes aplicacions porten el seu propi paquet o comproven un valor fixat. Tampoc no demostra que algú hagi executat codi a la màquina; un canvi de confiança és una capacitat entre diverses. Tracteu el certificat com una troballa per delimitar, no com tot l'incident.

El magatzem importa tant com el certificat: un paquet a nivell d'usuari i una àncora a nivell de sistema arriben a consumidors diferents.

Mapeu cada validador i la seva font de confiança

Anoteu cada component que valida certificats per als fluxos de treball afectats: navegador, gestor de paquets, client de correu, VPN. Després trobeu la font de confiança que llegeix cadascun.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

El llistat del directori mostra àncores afegides localment en sistemes d'estil Debian, i la llista de confiança mostra què exposa actualment el magatzem del sistema. Un navegador amb magatzem propi no hi apareixerà, i una aplicació Java o Python pot utilitzar encara un altre paquet. Anoteu quines entrades són esperades i quines no, fent servir l'empremta i no només el nom mostrat. Aquesta llista és el que un responsable de resposta a incidents necessita abans d'esborrar res.

Comproveu la validació de parell de la mateixa VPN

Una VPN amb una CA privada o una empremta explícita avalua la passarel·la segons la seva pròpia configuració. Compareu què espera el client amb què presenta la passarel·la.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

La sortida dona l'empremta SHA-256 i el subjecte del certificat que presenta el punt final, que podeu comparar amb el valor configurat. OpenVPN té una opció d'empremta de parell que fa aquesta comparació per al túnel sense exigir que el magatzem del sistema accepti el signant. Aquesta independència és útil per al túnel i no diu res sobre el navegador. Tampoc no ajuda si l'empremta esperada es va copiar de la connexió sospitosa des del principi.

Delimiteu l'incident més enllà del certificat

Utilitzeu el procediment del propietari del dispositiu per eliminar àncores no autoritzades i buscar els canvis que normalment les acompanyen: serveis nous, clients modificats, paràmetres de proxy alterats. En una màquina gestionada, confirmeu la configuració legítima abans d'esborrar material del qual depèn altre programari. Per a cada validador, anoteu d'on ve la seva confiança, quina identitat espera i com heu confirmat que la configuració actual és correcta. Un túnel que funciona després de la neteja és una observació, no una prova que el punt final estigui net.

Després torneu a provar els fluxos de treball que utilitzaven el magatzem, perquè eliminar una àncora pot trencar un servei intern que hi confiava legítimament. La recuperació s'acaba quan les relacions de confiança esperades funcionen i les inesperades no.