Ποιους επαληθευτές επηρεάζει ένα επιπλέον πιστοποιητικό ρίζας;

Βρίσκετε ένα πιστοποιητικό ρίζας που δεν θα έπρεπε να είναι εκεί, και το πρώτο ερώτημα είναι ποια ταυτότητα μπορεί να υποδυθεί. Η ειλικρινής απάντηση εξαρτάται από το ποιο λογισμικό συμβουλεύεται αυτόν τον χώρο αποθήκευσης και από το πώς το VPN σας επαληθεύει την πύλη του. Ένα πρόγραμμα περιήγησης, ένας διαχειριστής πακέτων και ένας πελάτης VPN με καρφιτσωμένο αποτύπωμα δεν μοιράζονται απαραίτητα την ίδια απόφαση εμπιστοσύνης. Χαρτογραφήστε τους επαληθευτές πριν αποφασίσετε το εύρος.

Μια ρίζα στον χώρο αποθήκευσης του συστήματος δεν είναι καθολικό κλειδί

Η εγκατάσταση μιας ρίζας καθιστά τα πιστοποιητικά που έχουν υπογραφεί με αυτό το κλειδί αποδεκτά από προγράμματα που χρησιμοποιούν τον επηρεαζόμενο χώρο. Δεν τα καθιστά αυτόματα αποδεκτά παντού, επειδή ορισμένες εφαρμογές φέρνουν τη δική τους δέσμη ή ελέγχουν μια καρφιτσωμένη τιμή. Ούτε αποδεικνύει ότι κάποιος εκτέλεσε κώδικα στο μηχάνημα· μια αλλαγή εμπιστοσύνης είναι μία δυνατότητα ανάμεσα σε αρκετές. Αντιμετωπίστε το πιστοποιητικό ως εύρημα προς οριοθέτηση, όχι ως ολόκληρο το συμβάν.

Ο χώρος αποθήκευσης έχει τόση σημασία όσο το πιστοποιητικό: μια δέσμη σε επίπεδο χρήστη και μια άγκυρα σε επίπεδο συστήματος φτάνουν σε διαφορετικούς καταναλωτές.

Χαρτογραφήστε κάθε επαληθευτή και την πηγή εμπιστοσύνης του

Καταγράψτε κάθε στοιχείο που επαληθεύει πιστοποιητικά για τις επηρεαζόμενες ροές εργασίας: πρόγραμμα περιήγησης, διαχειριστής πακέτων, πελάτης αλληλογραφίας, VPN. Έπειτα βρείτε την πηγή εμπιστοσύνης που διαβάζει το καθένα.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Η λίστα καταλόγου δείχνει άγκυρες που προστέθηκαν τοπικά σε συστήματα τύπου Debian, και η λίστα εμπιστοσύνης δείχνει τι εκθέτει αυτή τη στιγμή ο χώρος αποθήκευσης του συστήματος. Ένα πρόγραμμα περιήγησης με δικό του χώρο δεν θα εμφανιστεί εκεί, και μια εφαρμογή Java ή Python μπορεί να χρησιμοποιεί άλλη δέσμη. Καταγράψτε ποιες καταχωρίσεις αναμένονται και ποιες όχι, χρησιμοποιώντας το αποτύπωμα και όχι μόνο το εμφανιζόμενο όνομα. Αυτή η λίστα είναι ό,τι χρειάζεται ένας ανταποκριτής περιστατικών πριν διαγράψει οτιδήποτε.

Ελέγξτε την επαλήθευση ομοτίμου του ίδιου του VPN

Ένα VPN με ιδιωτική CA ή ρητό αποτύπωμα αξιολογεί την πύλη με βάση τη δική του διαμόρφωση. Συγκρίνετε τι περιμένει ο πελάτης με το τι παρουσιάζει η πύλη.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Η έξοδος δίνει το αποτύπωμα SHA-256 και το θέμα του πιστοποιητικού που παρουσιάζει το τελικό σημείο, και μπορείτε να τα συγκρίνετε με τη διαμορφωμένη τιμή. OpenVPN διαθέτει επιλογή αποτυπώματος ομοτίμου που εκτελεί αυτή τη σύγκριση για το τούνελ χωρίς να απαιτείται από τον χώρο αποθήκευσης του συστήματος να δεχτεί τον υπογράφοντα. Αυτή η ανεξαρτησία είναι χρήσιμη για το τούνελ και δεν λέει τίποτα για το πρόγραμμα περιήγησης. Δεν βοηθά ούτε αν το αναμενόμενο αποτύπωμα αντιγράφηκε από την ύποπτη σύνδεση εξαρχής.

Οριοθετήστε το περιστατικό πέρα από το πιστοποιητικό

Χρησιμοποιήστε τη διαδικασία του κατόχου της συσκευής για να αφαιρέσετε μη εξουσιοδοτημένες άγκυρες και να αναζητήσετε τις αλλαγές που συνήθως τις συνοδεύουν: νέες υπηρεσίες, τροποποιημένους πελάτες, αλλαγμένες ρυθμίσεις διαμεσολαβητή. Σε διαχειριζόμενο μηχάνημα, επιβεβαιώστε τη νόμιμη διαμόρφωση πριν διαγράψετε υλικό από το οποίο εξαρτάται άλλο λογισμικό. Για κάθε επαληθευτή, καταγράψτε από πού προέρχεται η εμπιστοσύνη του, ποια ταυτότητα περιμένει και πώς επιβεβαιώσατε ότι η τρέχουσα διαμόρφωση είναι σωστή. Ένα λειτουργικό τούνελ μετά τον καθαρισμό είναι μία παρατήρηση, όχι απόδειξη ότι το τελικό σημείο είναι καθαρό.

Έπειτα δοκιμάστε ξανά τις ροές εργασίας που χρησιμοποιούσαν τον χώρο αποθήκευσης, επειδή η αφαίρεση μιας άγκυρας μπορεί να σπάσει μια εσωτερική υπηρεσία που βασιζόταν νόμιμα σε αυτήν. Η ανάκτηση ολοκληρώνεται όταν οι αναμενόμενες σχέσεις εμπιστοσύνης λειτουργούν και οι μη αναμενόμενες όχι.