Pa dilyswyr y mae tystysgrif wreiddyn ychwanegol yn effeithio arnynt?

Rydych yn dod o hyd i dystysgrif wreiddyn na ddylai fod yno, a'r cwestiwn cyntaf yw pa hunaniaeth y gall ei dynwared. Mae'r ateb gonest yn dibynnu ar ba feddalwedd sy'n ymgynghori â'r storfa honno ac ar sut mae eich VPN yn dilysu ei phorth. Nid yw porwr, rheolwr pecynnau a chleient VPN ag olion bys wedi'i binio o reidrwydd yn rhannu'r un penderfyniad ymddiriedaeth. Mapwch y dilyswyr cyn penderfynu ar y cwmpas.

Nid yw gwreiddyn yn storfa'r system yn allwedd gyffredinol

Mae gosod gwreiddyn yn gwneud tystysgrifau a lofnodwyd â'r allwedd honno yn dderbyniol i raglenni sy'n defnyddio'r storfa dan sylw. Nid yw'n eu gwneud yn dderbyniol ym mhob man yn awtomatig, oherwydd mae rhai rhaglenni'n dod â'u pecyn eu hunain neu'n gwirio gwerth wedi'i binio. Nid yw chwaith yn profi bod rhywun wedi rhedeg cod ar y peiriant; mae newid ymddiriedaeth yn un gallu ymhlith sawl un. Triniwch y dystysgrif fel darganfyddiad i'w gwmpasu, nid fel yr holl ddigwyddiad.

Mae'r storfa lawn mor bwysig â'r dystysgrif: mae pecyn ar lefel defnyddiwr ac angor ar lefel system yn cyrraedd defnyddwyr gwahanol.

Mapwch bob dilysydd a'i ffynhonnell ymddiriedaeth

Nodwch bob cydran sy'n dilysu tystysgrifau ar gyfer y llif gwaith dan sylw: porwr, rheolwr pecynnau, cleient post, VPN. Yna dewch o hyd i'r ffynhonnell ymddiriedaeth y mae pob un yn ei darllen.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Mae'r rhestr cyfeiriadur yn dangos angorau a ychwanegwyd yn lleol ar systemau ar ddull Debian, ac mae'r rhestr ymddiriedaeth yn dangos yr hyn y mae storfa'r system yn ei ddatgelu ar hyn o bryd. Ni fydd porwr â'i storfa ei hun yn ymddangos yno, a gall rhaglen Java neu Python ddefnyddio pecyn arall eto. Cofnodwch pa gofnodion sy'n ddisgwyliedig a pha rai nad ydynt, gan ddefnyddio'r olion bys yn hytrach na'r enw a ddangosir yn unig. Y rhestr honno yw'r hyn y mae ymatebwr digwyddiad ei angen cyn dileu unrhyw beth.

Gwiriwch ddilysu cymar y VPN ei hun

Mae VPN â CA preifat neu olion bys penodol yn gwerthuso'r porth yn erbyn ei ffurfweddiad ei hun. Cymharwch yr hyn y mae'r cleient yn ei ddisgwyl â'r hyn y mae'r porth yn ei gyflwyno.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Mae'r allbwn yn rhoi olion bys SHA-256 a phwnc y dystysgrif y mae'r pwynt terfyn yn ei chyflwyno, y gallwch eu cymharu â'r gwerth a ffurfweddwyd. Mae gan OpenVPN opsiwn olion bys cymar sy'n gwneud y gymhariaeth honno ar gyfer y twnnel heb fod angen i storfa'r system dderbyn y llofnodwr. Mae'r annibyniaeth honno'n ddefnyddiol i'r twnnel ac yn dweud dim am y porwr. Nid yw'n helpu chwaith os cafodd yr olion bys disgwyliedig ei gopïo o'r cysylltiad amheus yn y lle cyntaf.

Cwmpaswch y digwyddiad y tu hwnt i'r dystysgrif

Defnyddiwch broses perchennog y ddyfais i ddileu angorau anawdurdodedig ac i chwilio am y newidiadau sy'n cyd-fynd â nhw fel arfer: gwasanaethau newydd, cleientiaid wedi'u newid, gosodiadau dirprwy wedi'u newid. Ar beiriant a reolir, cadarnhewch y ffurfweddiad cyfreithlon cyn dileu deunydd y mae meddalwedd arall yn dibynnu arno. Ar gyfer pob dilysydd, cofnodwch o ble y daw ei ymddiriedaeth, pa hunaniaeth y mae'n ei disgwyl, a sut y gwnaethoch gadarnhau bod y ffurfweddiad presennol yn gywir. Mae twnnel sy'n gweithio ar ôl glanhau yn un arsylwi, nid yn brawf bod y pwynt terfyn yn lân.

Yna ailbrofwch y llifoedd gwaith a ddefnyddiai'r storfa, oherwydd gall dileu angor dorri gwasanaeth mewnol a oedd yn dibynnu arno'n gyfreithlon. Mae adferiad wedi'i gwblhau pan fydd y perthnasoedd ymddiriedaeth disgwyliedig yn gweithio ac nad yw'r rhai annisgwyl yn gweithio.