Kuidas eemaldada vananenud VPN-sertifikaat usalduspoest

Teie VPN-klient on desinstallitud, profiil on seadetest kadunud ja tunnel tõuseb ikkagi vanade mandaatidega. Või kustutate selle, taaskäivitate ja leiate selle järgmisel hommikul tagasi. Kumbki pole katkine kustutusnupp. Profiil on konfiguratsioon; sertifikaat on võtmematerjal pluss usaldusotsus, mis on kirjas poes, millele profiil ainult viitab. Kumb neist teie käes on, määrab, mida 'eemaldamine' tähendama peab.

Profiil ei ole sertifikaat

VPN-i seadistuses nimetatakse 'sertifikaadiks' kolme erinevat objekti. Kliendi identiteet on privaatvõtmega lõppsertifikaat ja lüüs kasutab seda, et otsustada, kes te olete. Serveri enda lõppsertifikaat ja selle vahesertifikaat on see, mida teie klient ühendudes kontrollib. Usaldusankur, tavaliselt juur- või privaatse CA sertifikaat, on see, mis teeb ahela üldse kontrollitavaks. RFC 5280 nimetab neid usaldusankruks, vahesertifikaadiks ja lõppüksuseks, ning ahel valideerub ainult seni, kuni iga lüli allkirjastab selle all oleva.

Kustutage identiteet ja üks seade kaotab juurdepääsu. Kustutage ankur ja iga rakendus, mis selle poe vastu valideerib, kaotab võime kontrollida kõike selle all välja antut, sealhulgas ühendused, millel pole VPN-iga midagi pistmist. See asümmeetria on kogu risk: ühe lüüsi jaoks paigaldatud juur on sageli sama juur, mis allkirjastab sisemise portaalil, postiserveri või paketipeegli. Pidage meeles, kumb neist teie käes on.

Omandiõigus otsustab, kas kustutamine jääb kustutatuks. Sülerarvutis, mille omanik te olete, saate sertifikaadi tagasi panna ainult teie. Hallatavas seadmes võib konfiguratsiooniprofiil või MDM-koormus selle järgmisel registreerimisel uuesti paigaldada, mistõttu see 'tuleb tagasi' ja miks kõvem kustutamine ei aita.

Leidke, milline pood seda veel hoiab

Inimesed alustavad rakendusest Seaded, mis on ainus koht, kus sertifikaati ei hoita. Tegelikud asukohad on opsüsteemi usalduspoed, brauseri oma pood ja rakenduse privaatne pood.

Sobitage seerianumbri või sõrmejälje järgi, mitte kunagi kuvatava nime järgi. Kuvatavad nimed määrab see, kes sertifikaadi väljastas, ja neid kasutatakse uuesti: 'Example VPN' võib olla kolm sertifikaati kolme erineva võtmega, üks neist veel igapäevases kasutuses.

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

macOS-is annab security-tööriist samad faktid ja find-identity näitab, millistel sertifikaatidel on veel privaatvõti küljes:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

Kustutage kitsas objekt, jätke jagatud väljaandja alles

Eksportige enne kustutamist. Varukoopiata on ainus taastamine uuesti väljastamine, mis privaatse CA puhul tähendab tagasiminekut selle juurde, kes PKI-d haldab. Eksporditud PFX on ka see, mille te üle annate, kui eemaldamine osutub vale otsuseks.

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

Lipp -user on see, mille inimesed kogemata välja jätavad. Ilma selleta töötab certutil hoopis masinapoes, mis tähendab kõrgendatud shelli, teistsugust sertifikaatide kogumit ja mõjuraadiust, mis hõlmab nüüd kõiki teisi masina kontosid.

macOS-is ja Linuxis on vorm sama: tuvastage, eksportige, seejärel eemaldage kitsaimast poest, mis sümptomit seletab. Faili eemaldamine kausta /usr/local/share/ca-certificates alt ja update-ca-certificates uuesti käivitamine on piisav; --fresh aitab ainult siis, kui sümbollingid kaustas /etc/ssl/certs on juba vastuolulised. RHEL-i perekonna süsteemid hoiavad ankruid kaustas /etc/pki/ca-trust/source/anchors, kus trust anchor --remove teeb sama tööd.

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

Enne CA-sertifikaadi kustutamist kontrollige, mis veel sellega aheldub. Kimbus olevate subjektide loetlemine on kaherealine kontroll ja vastab, kas see ankur teeb muud tööd:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

Faili kustutamine ei ole identiteedi tühistamine

Kohalik kustutamine eemaldab ühe koopia. Privaatvõti võib endiselt olla p12-s, mis on kinnitatud vana pileti, varukoopiate kausta või samal ajal seadistatud teise sülearvuti külge. Kui see oli kliendi identiteet, võtab lüüs iga selle võtme koopiat vastu seni, kuni identiteet serveripoolselt tagasi lükatakse.

Kui tegemist on OpenVPN PKI-ga, tähendab see sertifikaadi tühistamist ja veendumist, et CRL, millele crl-verify viitab, on ajakohane; easyrsa revoke seejärel easyrsa gen-crl on lühiversioon. Identiteedipakkujaga seotud lüüsi puhul keelake kasutaja või eemaldage seade seal, sest sertifikaat on mängus ainult üks mandaat. Kohaliku koopia kustutamine, kui konto jääb aktiivseks, näeb välja nagu koristamine ja seda pole.

Intsidenditööl on teine järjekord: säilitage esmalt sertifikaat, selle seerianumber ja tühistamiskirje, seejärel kustutage ja tühistage. Need kirjed ei maksa midagi ega nõua töötava mandaadi allesjätmist.

Kontrollige kätlemise ja teise rakendusega

Kontrollige ahelat väljastpoolt, mitte poe loendist, mida just muutsite. Pood näitab teie muudatust; kätlemine näitab tulemust.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

Tagastuskood 0 tähendab, et ülejäänud ankrud valideerivad lüüsi endiselt. Ahela viga pärast ankru eemaldamist on oodatud tulemus ja kinnitab, et tabasite kasutusel olevat ankrut, mitte duplikaati poes, mida klient kunagi ei loe. Kui ühendus töötab endiselt, otsige teist koopiat, rakendusse põimitud poodi või kinnitatud sertifikaati, mis kõik on tavalised klientides, mis toovad kaasa oma usaldusnimekirja.

Seejärel katsetage midagi mitteseotut: sisemist saiti, postiklienti, paketipeeglit. See mõõdab mõjuraadiust odavalt enne muudatusakna sulgumist.

• Roll tuvastatud identiteedi, vahesertifikaadi või usaldusankruna
• Seerianumber ja sõrmejälg kirja pandud ning koopia eksporditud heakskiidetud asukohta
• Kustutamine tehtud kitsaimas ulatuses, mis sümptomit seletab
• Serveripoolne autoriseerimine tühistatud, kui inimene või seade lahkus
• Kätlemine lahti seletatud ja üks mitteseotud rakendus uuesti testitud
• MDM-koormus või haldusprofiil uuendatud, muidu tuleb sertifikaat tagasi

Kui sertifikaat on pärast taaskäivitust tagasi, pole töö lõpetatud: miski omab seda ja paigaldab selle uuesti. Leidke see omanik enne uut kustutamist, sest kolmas kustutamine käitub täpselt nagu kaks esimest.