TLS-vead ainult ettevõtte VPN-is: parandage õige usaldushoidla

Go ehitus, Composer paigaldus ja Python klient töötavad kõik kodus ja kõik ebaõnnestuvad ettevõtte VPN-i sees. See muster räägib teest, mitte rakendusest. Midagi tunnelil muutis sertifikaadiahelat, mida teie protsess näeb, või lähtestas käepigistuse enne, kui ahel üldse kohale jõudis. Kaks riket näevad terminalis sarnased välja ja nõuavad täiesti erinevaid vastuseid.

Kolm teadet, kolm mehhanismi

Viga x509 certificate signed by unknown authority tähendab, et ahel ehitati ja selle juur puudub selles usaldushoidlas, mida see protsess kasutab. Viga self-signed certificate in certificate chain tähendab tavaliselt, et kontrollpuhverserver vastas oma sertifikaadiga, mis on ahel, mida teie käituskeskkond ei tunne. SSL EOF käepigistuse ajal tähendab, et ühendus suleti enne, kui saadeti ükskõik milline kasutatav sertifikaat, ja see on vaheline seade, mis lükkab ClientHello tagasi, mitte üldse usaldusprobleem.

Ebaturvalise režiimi lipu lisamine paneb kõik kolm teadet kaduma, jättes pealtkuulamise paigale, ja eemaldab kontrolli, mis püüaks kinni tõelise ründaja.

Leidke pakett, mida protsess tegelikult loeb

Windowsi hoidlasse paigaldatud ettevõtte juur parandab brausereid ja .NET rakendusi, mis konsulteerivad süsteemihoidlaga. See ei tee midagi konteineris töötava ehituse jaoks, mis kannab oma CA-paketti, ega certifi teeki kasutava Pythoni protsessi või oma kaasasolevat nimekirja kasutava Node’i protsessi jaoks. Go loeb selle keskkonna süsteemikogu, milles binaarfail töötab, see tähendab konteinerit, mitte sülearvutit. Nii annab üks masin korraga nii töötava brauseri kui ka ebaõnnestuva ehitustööriista.

Küsige tööriistalt, mitte oletage. python3 -c "import ssl; print(ssl.get_default_verify_paths())" trükib failid, mida Python konsulteerib, ja node -e "console.log(process.env.NODE_EXTRA_CA_CERTS)" näitab, kas alistamine on juba seatud. Konteineri puhul käivitage sama kontroll kujutise sees, sest see on keskkond, mida ehitus tegelikult kasutab.

Paigaldage üks juur sinna, kus ehitus töötab

Hankige kontrolljuur IT-osakonnalt PEM-failina ja kontrollige selle sõrmejälge eraldi kanali kaudu enne, kui seda usaldate. Debianil põhinevatel kujutistel kopeerige see kausta /usr/local/share/ca-certificates/ ja käivitage update-ca-certificates; RHEL-i perekonna kujutised kasutavad update-ca-trust pärast faili asetamist kausta /etc/pki/ca-trust/source/anchors/. Konteineri ehituses lisage need sammud enne ebaõnnestuvat käsku, et kiht puhverdataks sõltuvuste paigalduse kohal.

Kohaliku devcontaineri jaoks mountige PEM ja käivitage sama uuenduskäsk käivitamisel, selle asemel et see küpsetada isiklikku kujutisse, mida keegi teine ei saa korrata. Tööriistad, mis toovad kaasa oma paketi, vajavad oma dokumenteeritud alistamist: pipil on sertifikaadi säte, npmil on cafile säte ja enamik teisi aktsepteerib standardsed keskkonnamuutujaid.

See ei ole sama, mis mis tahes sertifikaadi aktsepteerimine. Te lisate ühe konkreetse juure, mille olete saanud kontrolli teostavalt osapoolt, ühte keskkonda, ja valideerimine jääb sisse iga teise ahela jaoks. Kirjutage üles, milline fail lisati ja millal see aegub, sest kontrolljuurt uuendatakse nagu iga teist CA-d.

Kui käepigistus sureb enne sertifikaati

Kui midagi ei esitata, ei aita ükski usaldushoidla muudatus. Võrrelge sama päringut tunneliga üles ja alla, seejärel uurige ahelat otse käsuga openssl s_client -connect host:443 -servername host -showcerts. Ühendus, mis väljaspool VPN-i lõpeb ja selle sees lähtestatakse, on vahelise seadme poliitikaotsus ja ravim on erand selle hosti jaoks, mitte veel üks sertifikaat. Paluge paketiregistril või API-lõpp-punktil muutmata kujul läbi pääseda.

Tunneli jagamine, et tööriist VPN-ist mööda läheks, väldib selle liikluse kontrolli, mis võib rikkuda poliitikat ega muuda tööriista usaldusväärseks.

Kirjutage tulemus iga tööriista kohta üles

Lühike märkus, kus on loetletud binaarfail, selle loetav usaldusfail, mängus olev keskkonnamuutuja ja kinnitatud erand, säästab järgmisel inimesel kogu diagnoosi. Hoidke märkust iga tööriista, mitte iga sülearvuti kohta, sest sülearvuti on harva see, mis muutus.

Ja hoidke piletis kaks lauset eraldi: paigaldasime konkreetse ettevõtte juure ja lülitasime valideerimise välja. Ainult üks neist on tugitegevus.