Sut i ddileu tystysgrif VPN hen ffasiwn o storfa ymddiriedaeth

Mae eich cleient VPN wedi'i ddad-osod, mae'r proffil wedi diflannu o'r Gosodiadau, ac mae'r twnnel yn dal i godi gyda'r hen gymwysterau. Neu rydych chi'n ei ddileu, yn ailgychwyn, ac yn ei gael yn ôl y bore nesaf. Nid yw'r naill na'r llall yn fotwm dileu wedi torri. Cyfluniad yw proffil; mae tystysgrif yn ddeunydd allweddol ynghyd â phenderfyniad ymddiriedaeth a gofnodir mewn storfa nad yw'r proffil ond yn cyfeirio ati. Pa un o'r ddau sydd gennych sy'n penderfynu beth y mae'n rhaid i 'ddileu' ei olygu.

Nid yw proffil yn dystysgrif

Gelwir tri gwrthrych gwahanol yn 'y dystysgrif' mewn sefydliad VPN. Y dystysgrif adnabod cleient yw tystysgrif delefol gydag allwedd breifat, ac mae'r porth yn ei defnyddio i benderfynu pwy ydych chi. Tystysgrif delefol y gweinydd ei hun a'i dystysgrif ganolradd yw'r hyn y mae eich cleient yn ei wirio pan fydd yn cysylltu. Yr angor ymddiriedaeth, sef tystysgrif wraidd neu dystysgrif CA breifat fel arfer, yw'r hyn sy'n gwneud y gadwyn yn wiriadwy o gwbl. RFC 5280 yn galw'r rhain yn angor ymddiriedaeth, yn dystysgrif ganolradd ac yn endid terfynol, ac nid yw'r gadwyn yn dilysu ond tra bo pob dolen yn llofnodi'r un islaw iddi.

Dilëwch y dystysgrif adnabod ac mae un ddyfais yn colli mynediad. Dilëwch yr angor ac mae pob cymhwysiad sy'n dilysu yn erbyn y storfa honno yn colli'r gallu i wirio unrhyw beth a gyhoeddwyd oddi tani, gan gynnwys cysylltiadau nad oes ganddynt ddim i'w wneud â'r VPN. Yr anghymesuredd hwn yw'r risg gyfan yma: mae gwraidd a osodwyd ar gyfer un porth yn aml yr un gwraidd sy'n llofnodi porth mewnol, gweinydd post neu ddrych pecynnau. Cofiwch pa un o'r ddau sydd gennych.

Mae perchnogaeth yn penderfynu a fydd y dilead yn aros wedi'i ddileu. Ar liniadur rydych chi'n berchen arno, chi yw'r unig un a all roi'r dystysgrif yn ôl. Ar ddyfais a reolir, gall proffil cyfluniad neu lwyth MDM ei hailosod yn y man gwirio nesaf, a dyna pam y mae'n 'dod yn ôl' a pham nad yw dileu'n galetach yn helpu.

Darganfyddwch pa storfa sy'n dal i'w chadw

Mae pobl yn dechrau yn yr ap Gosodiadau, sef yr unig le nad yw tystysgrif yn cael ei storio. Y gwir leoliadau yw storfeydd ymddiriedaeth y system weithredu, storfa'r porwr ei hun a storfa breifat y cymhwysiad.

Cydweddwch ar y rhif cyfresol neu'r ôl-brint, byth ar yr enw arddangos. Enwau arddangos a osodir gan bwy bynnag a gyhoeddodd y dystysgrif ac maent yn cael eu hailddefnyddio: gall 'Example VPN' fod yn dair tystysgrif gyda thri allwedd wahanol, un yn dal mewn defnydd dyddiol.

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

Ar macOS mae'r teclyn security yn rhoi'r un ffeithiau, ac find-identity yn dangos pa dystysgrifau sydd â allwedd breifat ynghlwm o hyd:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

Dilëwch y gwrthrych cul, cadwch y cyhoeddwr a rennir

Allforiwch cyn dileu. Heb gopi wrth gefn, yr unig adferiad yw ailgyhoeddi, ac mewn CA breifat mae hynny'n golygu mynd yn ôl at bwy bynnag sy'n rhedeg y PKI. Y PFX a allforiwyd hefyd yw'r hyn rydych chi'n ei drosglwyddo os bydd y dilead yn troi allan yn benderfyniad anghywir.

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

Y faner -user hon yw'r un y mae pobl yn ei gollwng ar ddamwain. Hebddi mae certutil yn gweithio ar storfa'r peiriant yn lle hynny, sy'n golygu shell uwch, set wahanol o dystysgrifau a radiws effaith sydd bellach yn cynnwys pob cyfrif arall ar y peiriant.

Ar macOS a Linux mae'r siâp yr un fath: nodwch, allforiwch, yna dilëwch o'r storfa gulaf sy'n esbonio'r symptom. Mae dileu'r ffeil o dan /usr/local/share/ca-certificates ac ail-redeg update-ca-certificates yn ddigon; --fresh nid yw ond yn helpu pan fydd y dolenni symbolaidd yn /etc/ssl/certs eisoes yn anghyson. Mae systemau teulu RHEL yn cadw angorau yn /etc/pki/ca-trust/source/anchors, lle mae trust anchor --remove yn gwneud yr un gwaith.

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

Cyn dileu tystysgrif CA, gwiriwch beth arall sy'n cadwyno iddi. Mae rhestru'r pynciau y tu mewn i'r bwndel yn wiriad dwy linell ac mae'n ateb a yw'r angor honno'n gwneud gwaith arall:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

Nid yw dileu'r ffeil yn dirymu'r dystysgrif adnabod

Mae dilead lleol yn tynnu un copi. Gall yr allwedd breifat fod mewn p12 sydd ynghlwm wrth docyn hen, ffolder copi wrth gefn, neu'r ail liniadur a osodwyd ar yr un pryd. Os oedd hon yn dystysgrif adnabod cleient, mae'r porth yn dal i dderbyn unrhyw gopi o'r allwedd honno nes bod y dystysgrif adnabod yn cael ei gwrthod ar ochr y gweinydd.

Ar gyfer OpenVPN PKI, mae hynny'n golygu dirymu'r dystysgrif a sicrhau bod y CRL y mae crl-verify yn cyfeirio ati yn gyfredol; easyrsa revoke yna easyrsa gen-crl yw'r fersiwn fer. Ar gyfer porth sy'n gysylltiedig â darparwr adnabyddiaeth, analluogwch y defnyddiwr neu symudwch y ddyfais yno, oherwydd dim ond un cymhwyster o'r rhai sydd ar waith yw'r dystysgrif. Mae dileu'r copi lleol tra bo'r cyfrif yn parhau'n weithredol yn edrych fel glanhau ac nid yw.

Mae gan waith digwyddiad drefn wahanol: cadwch y dystysgrif, ei rhif cyfresol a'r cofnod dirymu yn gyntaf, yna dilëwch a dirymwch. Nid yw'r cofnodion hynny'n costio dim ac nid ydynt yn gofyn am adael cymhwyster gweithredol yn ei le.

Gwiriwch ag ysgwyd llaw ac ail ap

Gwiriwch y gadwyn o'r tu allan, nid o restru'r storfa rydych newydd ei golygu. Mae'r storfa'n dangos eich golygiad; mae'r ysgwyd llaw yn dangos y canlyniad.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

Mae cod dychwelyd 0 yn golygu bod yr angorau sy'n weddill yn dal i ddilysu'r porth. Mae gwall cadwyn ar ôl tynnu'r angor yn ganlyniad disgwyliedig, ac mae'n cadarnhau eich bod wedi taro'r angor sy'n cael ei defnyddio yn hytrach na chopi dyblyg mewn storfa nad yw'r cleient byth yn ei darllen. Os yw'r cysylltiad yn dal i weithio, chwiliwch am ail gopi, storfa wedi'i bwyso i mewn i'r ap, neu dystysgrif wedi'i phinio, a phob un ohonynt yn gyffredin mewn cleientiaid sy'n cludo eu rhestr ymddiriedaeth eu hunain.

Yna profwch rywbeth heb gysylltiad: safle mewnol, cleient post, drych pecynnau. Mae hynny'n mesur y radiws effaith yn rhad, cyn i'r ffenestr newid gau.

• Rôl wedi'i nodi fel tystysgrif adnabod, canolradd neu angor ymddiriedaeth
• Rhif cyfresol ac ôl-brint wedi'u cofnodi, a'r copi wedi'i allforio i'r lleoliad a gymeradwywyd
• Dilead wedi'i wneud yn yr amrediad culaf sy'n esbonio'r symptom
• Awdurdodiad ochr y gweinydd wedi'i ddirymu pan adawodd person neu ddyfais
• Ysgwyd llaw wedi'i esbonio, ac un ap heb gysylltiad wedi'i ailbrofi
• Llwyth MDM neu broffil rheoli wedi'i ddiweddaru, neu mae'r dystysgrif yn dod yn ôl

Os yw'r dystysgrif yn ôl ar ôl ailgychwyn, nid yw'r gwaith wedi gorffen: mae rhywbeth yn berchen arni ac yn ei hailosod. Darganfyddwch y perchennog hwnnw cyn dileu eto, oherwydd bydd trydydd dilead yn ymddwyn yn union fel y ddau gyntaf.