Kiujn validigilojn efikas plia radika atestilo?

Vi trovas radikan atestilon, kiu ne devus esti tie, kaj la unua demando estas kies identecon ĝi povas ŝajnigi. La honesta respondo dependas de tio, kiun softvaron konsultas tiu konservejo kaj kiel via VPN kontrolas sian enirejon. Retumilo, pakadministrilo kaj VPN-kliento kun fiksita fingrospuro ne nepre dividas la saman fiddecidon. Mapu la validigilojn antaŭ ol decidi la amplekson.

Radiko en la sistema konservejo ne estas universala ŝlosilo

Instali radikon igas atestilojn subskribitajn per tiu ŝlosilo akcepteblaj por programoj, kiuj uzas la koncernan konservejon. Ĝi ne igas ilin aŭtomate akcepteblaj ĉie, ĉar kelkaj aplikaĵoj alportas propran faskon aŭ kontrolas fiksitan valoron. Ĝi ankaŭ ne pruvas, ke iu rulis kodon sur la maŝino; ŝanĝo de fido estas unu kapablo inter pluraj. Traktu la atestilon kiel trovitan indikon por limigi, ne kiel la tutan incidenton.

La konservejo same gravas kiel la atestilo: fasko je uzanto-nivelo kaj ankro je sistema nivelo atingas malsamajn konsumantojn.

Mapu ĉiun validigilon kaj ĝian fidfonton

Notu ĉiun komponanton, kiu validigas atestilojn por la koncernaj laborfluoj: retumilo, pakadministrilo, retpoŝta kliento, VPN. Poste trovu la fidfonton, kiun ĉiu el ili legas.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

La dosieruja listo montras loke aldonitajn ankrojn en sistemoj laŭ la stilo Debian, kaj la fidlisto montras, kion la sistema konservejo nun elmontras. Retumilo kun propra konservejo ne aperos tie, kaj Java aŭ Python aplikaĵo povas uzi ankoraŭ alian faskon. Registru, kiuj eroj estas atenditaj kaj kiuj ne, uzante la fingrospuron anstataŭ nur la montratan nomon. Tiu listo estas tio, kion bezonas incidenta respondanto antaŭ ol forigi ion ajn.

Kontrolu la propran samtavolan validigon de la VPN

VPN kun privata CA aŭ eksplicita fingrospuro taksas la enirejon laŭ sia propra agordo. Komparu, kion la kliento atendas, kun tio, kion la enirejo prezentas.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

La eligo donas la fingrospuron SHA-256 kaj la subjekton de la atestilo, kiun la finpunkto prezentas, kaj vi povas kompari ilin kun la agordita valoro. OpenVPN havas opcion de samtavola fingrospuro, kiu faras tiun komparadon por la tunelo sen postuli, ke la sistema konservejo akceptu la subskribanton. Tiu sendependeco utilas por la tunelo kaj diras nenion pri la retumilo. Ĝi ankaŭ ne helpas, se la atendita fingrospuro estis kopiita el la suspekta konekto jam komence.

Limigu la incidenton preter la atestilo

Uzu la proceduron de la posedanto de la aparato por forigi neaŭtorizitajn ankrojn kaj serĉi la ŝanĝojn, kiuj kutime akompanas ilin: novaj servoj, modifitaj klientoj, ŝanĝitaj prokseaj agordoj. Sur administrata maŝino, konfirmu la legitiman agordon antaŭ ol forigi materialon, de kiu dependas alia softvaro. Por ĉiu validigilo, registru, de kie venas ĝia fido, kiun identecon ĝi atendas, kaj kiel vi konfirmis, ke la nuna agordo estas ĝusta. Funkcianta tunelo post la purigo estas unu observo, ne pruvo, ke la finpunkto estas pura.

Poste retestu la laborfluojn, kiuj uzis la konservejon, ĉar forigo de ankro povas rompi internan servon, kiu laŭleĝe fidis ĝin. La restaŭro finiĝas, kiam la atenditaj fidrilatoj funkcias kaj la neatenditaj ne.