Milliseid valideerijaid mõjutab täiendav juursertifikaat?

Leiate juursertifikaadi, mida seal olla ei tohiks, ja esimene küsimus on, kelle identiteeti see saab esitleda. Aus vastus sõltub sellest, milline tarkvara seda hoidlat küsitleb ja kuidas teie VPN oma lüüsi kontrollib. Brauser, paketihaldur ja kinnitatud sõrmejäljega VPN-klient ei pruugi jagada sama usaldusotsust. Kaardistage valideerijad enne ulatuse otsustamist.

Juur süsteemihoidlas ei ole universaalne võti

Juure paigaldamine muudab selle võtmega allkirjastatud sertifikaadid vastuvõetavaks programmidele, mis kasutavad mõjutatud hoidlat. See ei muuda neid automaatselt kõikjal vastuvõetavaks, sest mõned rakendused toovad kaasa oma kogumi või kontrollivad kinnitatud väärtust. See ei tõesta ka, et keegi käivitas masinas koodi; usalduse muudatus on üks mitmest võimalusest. Käsitlege sertifikaati leiuina, mille ulatus tuleb määrata, mitte kogu juhtumina.

Hoidla on sama oluline kui sertifikaat: kasutajatasandi kogum ja süsteemitasandi ankur jõuavad erinevate tarbijateni.

Kaardistage iga valideerija ja selle usaldusallikas

Kirjutage üles iga komponent, mis valideerib sertifikaate mõjutatud töövoogude jaoks: brauser, paketihaldur, meilikklient, VPN. Seejärel leidke usaldusallikas, mida igaüks neist loeb.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Kataloogiloend näitab Debiani-tüüpi süsteemides kohalikult lisatud ankruid ja usaldusloend näitab, mida süsteemihoidla praegu pakub. Oma hoidlaga brauser seal ei ilmu ja Java või Pythoni rakendus võib kasutada veel teist kogumit. Märkige üles, millised kirjed on oodatud ja millised mitte, kasutades sõrmejälge, mitte ainult kuvatavat nime. See loend on see, mida intsidendi reageerija vajab enne millegi kustutamist.

Kontrollige VPN-i enda partneri valideerimist

VPN, millel on privaatne CA või selgesõnaline sõrmejälg, hindab lüüsi oma konfiguratsiooni järgi. Võrrelge, mida klient ootab, sellega, mida lüüs esitab.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Väljund annab SHA-256 sõrmejälje ja lõpp-punkti esitatava sertifikaadi subjekti, mida saate konfigureeritud väärtusega võrrelda. OpenVPN-il on partneri sõrmejälje valik, mis teeb selle võrdluse tunneli jaoks, ilma et süsteemihoidla peaks allkirjastajat aktsepteerima. See sõltumatus on tunnelile kasulik ega ütle brauseri kohta midagi. See ei aita ka siis, kui oodatud sõrmejälg kopeeriti kahtlasest ühendusest juba alguses.

Piiritlege intsident sertifikaadist kaugemale

Kasutage seadme omaniku protseduuri, et eemaldada volitamata ankrud ja otsida muudatusi, mis neid tavaliselt saadavad: uued teenused, muudetud kliendid, muudetud puhverserveri seaded. Hallatavas masinas kinnitage seaduslik konfiguratsioon enne, kui kustutate materjali, millest muu tarkvara sõltub. Iga valideerija puhul kirjutage üles, kust tuleb selle usaldus, millist identiteeti see ootab ja kuidas kinnitasite, et praegune konfiguratsioon on õige. Pärast puhastamist töötav tunnel on üks tähelepanek, mitte tõestus, et lõpp-punkt on puhas.

Seejärel testige uuesti töövooge, mis hoidlat kasutasid, sest ankru eemaldamine võib rikkuda siseteenuse, mis sellele seaduslikult toetus. Taastamine on lõppenud, kui oodatud usaldussuhted töötavad ja ootamatud mitte.