Kiel forigi eksvalidiĝintan VPN-atestilon el fido-deponejo

Via VPN-kliento estas malinstalita, la profilo malaperis el Agordoj, kaj la tunelo ankoraŭ leviĝas kun la malnovaj legitimiloj. Aŭ vi forigas ĝin, restartigas, kaj trovas ĝin ree la sekvan matenon. Nek unu nek la alia estas difekta foriga butono. Profilo estas agordo; atestilo estas ŝlosila materialo plus fida decido registrita en deponejo, al kiu la profilo nur montras. Kiun el la du vi tenas, decidas, kion 'forigi' devas signifi.

Profilo ne estas atestilo

Tri malsamaj objektoj nomiĝas 'la atestilo' en VPN-aranĝo. La klienta identeco estas fina atestilo kun privata ŝlosilo, kaj la enirejo uzas ĝin por decidi, kiu vi estas. La propra fina atestilo de la servilo kaj ĝia intera atestilo estas tio, kion via kliento kontrolas kiam ĝi konektiĝas. La fido-ankro, kutime radika aŭ privata CA-atestilo, estas tio, kio igas la ĉenon entute kontrolebla. RFC 5280 nomas ĉi tiujn fido-ankro, intera atestilo kaj fina ento, kaj la ĉeno validiĝas nur dum ĉiu ligilo subskribas la suban.

Forigu la identecon kaj unu aparato perdas aliron. Forigu la ankron kaj ĉiu aplikaĵo validiĝanta kontraŭ tiu deponejo perdas la kapablon kontroli ion ajn eldonitan sub ĝi, inkluzive konektojn tute ne rilatajn al la VPN. Tiu asimetrio estas la tuta risko ĉi tie: radiko instalita por unu enirejo ofte estas la sama radiko, kiu subskribas internan portalon, retpoŝtan servilon aŭ pakaĵan spegulon. Memoru, kiun el la du vi tenas.

Posedo decidas, ĉu la forigo restos forigita. Sur tekokomputilo, kiun vi posedas, nur vi povas remeti la atestilon. Sur administrata aparato agorda profilo aŭ MDM-ŝarĝo povas reinstali ĝin ĉe la sekva kontrolo, kaj tial ĝi 'revenas' kaj tial pli forta forigo ne helpas.

Trovu, kiu deponejo ankoraŭ tenas ĝin

Homoj komencas en la aplikaĵo Agordoj, kiu estas la sola loko, kie atestilo ne estas konservata. La realaj lokoj estas la fido-deponejoj de la operaciumo, la propra deponejo de la retumilo kaj la privata deponejo de la aplikaĵo.

Kongruigu laŭ la seria numero aŭ la fingrospuro, neniam laŭ la montra nomo. Montrajn nomojn starigas tiu, kiu eldonis la atestilon, kaj ili estas reuzataj: 'Example VPN' povas esti tri atestiloj kun tri malsamaj ŝlosiloj, unu ankoraŭ en ĉiutaga uzo.

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

En macOS la ilo security donas la samajn faktojn, kaj find-identity montras, kiuj atestiloj ankoraŭ havas alkroĉitan privatan ŝlosilon:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

Forigu la mallarĝan objekton, konservu la komunan eldonanton

Eksportu antaŭ ol forigi. Sen sekurkopio la sola rekupero estas reeldono, kio en privata CA signifas reveni al tiu, kiu funkciigas la PKI. La eksportita PFX ankaŭ estas tio, kion vi transdonas, se la forigo montriĝos malĝusta decido.

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

La -user flago estas tiu, kiun homoj hazarde preterlasas. Sen ĝi certutil laboras sur la maŝina deponejo anstataŭe, kio signifas altigitan ŝelon, alian aron da atestiloj kaj efikan radiuson, kiu nun inkluzivas ĉiun alian konton sur la maŝino.

En macOS kaj Linux la formo estas la sama: identigu, eksportu, poste forigu el la plej mallarĝa deponejo, kiu klarigas la simptomon. Forigi la dosieron sub /usr/local/share/ca-certificates kaj relanĉi update-ca-certificates sufiĉas; --fresh helpas nur kiam la simbolaj ligiloj en /etc/ssl/certs jam estas malkonsekvencaj. Sistemoj de la RHEL-familio tenas ankrojn en /etc/pki/ca-trust/source/anchors, kie trust anchor --remove faras la saman laboron.

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

Antaŭ ol forigi CA-atestilon, kontrolu, kio alie ĉeniĝas al ĝi. Listigi la subjektojn ene de la pako estas kontrolo en du linioj kaj respondas, ĉu tiu ankro faras alian laboron:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

Forigi la dosieron ne estas revoki la identecon

Loka forigo forigas unu kopion. La privata ŝlosilo povas ankoraŭ sidi en p12 alkroĉita al malnova bileto, sekurkopia dosierujo aŭ la dua tekokomputilo starigita samtempe. Se tio estis klienta identeco, la enirejo plu akceptas ajnan kopion de tiu ŝlosilo, ĝis la identeco estas rifuzata ĉe la servila flanko.

Por OpenVPN PKI tio signifas revoki la atestilon kaj certigi, ke la CRL referencata de crl-verify estas aktuala; easyrsa revoke poste easyrsa gen-crl estas la mallonga versio. Por enirejo ligita al identeca provizanto, malŝaltu la uzanton aŭ forigu la aparaton tie, ĉar la atestilo estas nur unu legitimilo en la ludo. Forigi la lokan kopion dum la konto restas aktiva aspektas kiel purigado kaj ne estas.

Incidenta laboro havas alian ordon: unue konservu la atestilon, ĝian serian numeron kaj la revokan registron, poste forigu kaj revoku. Tiuj registroj kostas nenion kaj ne postulas lasi funkciantan legitimilon surloke.

Kontrolu per manpremo kaj dua aplikaĵo

Kontrolu la ĉenon de ekstere, ne el la deponeja listo, kiun vi ĵus redaktis. La deponejo montras vian redakton; la manpremo montras la rezulton.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

Revena kodo 0 signifas, ke la restantaj ankroj ankoraŭ validigas la enirejon. Ĉena eraro post forigo de la ankro estas la atendata rezulto, kaj ĝi konfirmas, ke vi trafis la uzatan ankron, ne duplikaton en deponejo, kiun la kliento neniam legas. Se la konekto ankoraŭ funkcias, serĉu duan kopion, en la aplikaĵon enmetitan deponejon aŭ fiksitan atestilon, ĉiuj oftaj en klientoj, kiuj liveras sian propran fidan liston.

Poste testu ion nerilatan: internan retejon, retpoŝtan klienton, pakaĵan spegulon. Tio mezuras la efikan radiuson malmultekoste, antaŭ ol la ŝanĝa fenestro fermiĝas.

• Rolo identigita kiel identeco, intera atestilo aŭ fido-ankro
• Seria numero kaj fingrospuro registritaj, kaj la kopio eksportita al la aprobita loko
• Forigo farita en la plej mallarĝa amplekso, kiu klarigas la simptomon
• Servila rajtigo revokita, kiam persono aŭ aparato foriris
• Manpremo klarigita, kaj unu nerilata aplikaĵo retestita
• MDM-ŝarĝo aŭ administra profilo ĝisdatigita, alie la atestilo revenas

Se la atestilo revenas post restarto, la laboro ne finiĝis: io posedas ĝin kaj reinstalas ĝin. Trovu tiun posedanton antaŭ ol forigi denove, ĉar tria forigo kondutos precize kiel la unuaj du.