VPN ziurtagiri zaharkitua konfiantza biltegirik nola kendu

Zure VPN bezeroa desinstalatuta dago, profila Ezarpenetatik desagertu da, eta tunela oraindik kredentzial zaharrekin altxatzen da. Edo ezabatu, berrabiarazi eta hurrengo goizean berriro aurkitzen duzu. Biak ez dira ezabatzeko botoi hondatuak. Profila konfigurazioa da; ziurtagiria gako materiala gehi konfiantza erabaki bat da, profila soilik seinalatzen duen biltegi batean erregistratua. Zein duzun eskuan erabakitzen du 'kentzeak' zer esan behar duen.

Profil bat ez da ziurtagiri bat

Hiru objektu desberdin deitzen dira 'ziurtagiria' VPN ezarpen batean. Bezeroaren identitatea gako pribatua duen amaierako ziurtagiria da, eta atebideak hura erabiltzen du nor zaren erabakitzeko. Zerbitzariaren beraren amaierako ziurtagiria eta haren tarteko ziurtagiria dira zure bezeroak konektatzean egiaztatzen duena. Konfiantza-aintzira, normalean erro edo CA pribatuko ziurtagiria, katea guztiz egiaztagarri egiten duena da. RFC 5280 hauek konfiantza-aintzira, tarteko ziurtagiri eta amaierako entitate deitzen ditu, eta kateak balio du goiko esteka bakoitzak azpikoa sinatzen duen bitartean.

Ezabatu identitatea eta gailu batek sarbidea galtzen du. Ezabatu aintzira eta biltegi horren aurka baliozkotzen duen aplikazio bakoitzak haren pean jaulkitako edozer egiaztatzeko gaitasuna galtzen du, VPNarekin zerikusirik ez duten konexioak barne. Asimetria hori da hemen arrisku osoa: atebide baterako instalatutako erroa sarritan barneko ataria, posta zerbitzaria edo pakete ispilua sinatzen dituen erro bera da. Gogoratu zein duzun eskuan.

Jabetzak erabakitzen du ezabaketa ezabatuta geratuko den. Zurea den ordenagailu eramangarri batean, zu zara ziurtagiria berriro jar dezakeen bakarra. Kudeatutako gailu batean, konfigurazio profil batek edo MDM karga batek hurrengo erregistroan berriro instala dezake, horregatik 'itzultzen da' eta horregatik ez du laguntzen gogorrago ezabatzeak.

Aurkitu zein biltegik eusten dion oraindik

Jendea Ezarpenak aplikaziotik hasten da, eta hori da ziurtagiri bat gordetzen ez den leku bakarra. Benetako kokalekuak sistema eragilearen konfiantza biltegiak, nabigatzailearen berezko biltegia eta aplikazioaren biltegi pribatua dira.

Bat egin serie zenbakiarekin edo hatz-markarekin, inoiz ez bistaratzeko izenarekin. Bistaratzeko izenak ziurtagiria jaulki zuenak jartzen ditu eta berrerabili egiten dira: 'Example VPN' hiru ziurtagiri izan daitezke hiru gako desberdinekin, bat oraindik eguneroko erabileran.

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

macOS-en security tresnak datu berdinak ematen ditu, eta find-identity erakusten du zein ziurtagirik duten oraindik gako pribatua itsatsita:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

Ezabatu objektu estua, gorde igorle partekatua

Esportatu ezabatu aurretik. Babeskopiarik gabe, berreskuratzeko modu bakarra berriro jaulkitzea da, eta CA pribatu batean horrek PKI kudeatzen duenarengana itzultzea esan nahi du. Esportatutako PFX ere bada kentzea erabaki okerra dela erakusten bada ematen duzuna.

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

Bandera -user da jendeak ustekabean uzten duena. Hura gabe certutil makinaren biltegian aritzen da, eta horrek shell igoa, ziurtagiri multzo desberdina eta orain makinako beste kontu guztiak barne hartzen dituen eragin erradioa esan nahi du.

macOS eta Linuxen forma bera da: identifikatu, esportatu eta gero sintoma azaltzen duen biltegirik estuenean kendu. Fitxategia /usr/local/share/ca-certificates azpian kentzea eta update-ca-certificates berriro exekutatzea nahikoa da; --fresh soilik laguntzen du /etc/ssl/certs -ko esteka sinbolikoak jada koherenteak ez direnean. RHEL familiako sistemek aintzirak /etc/pki/ca-trust/source/anchors-n gordetzen dituzte, non trust anchor --remove lan bera egiten duen.

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

CA ziurtagiri bat ezabatu aurretik, egiaztatu zer gehiagok kateatzen duen harekin. Sortan dauden subjektuak zerrendatzea bi lerroko egiaztapena da eta erantzuten du aintzira horrek beste lanik egiten duen:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

Fitxategia ezabatzea ez da identitatea baliogabetzea

Tokiko ezabaketak kopia bat kentzen du. Gako pribatua oraindik egon daiteke txartel zahar bati, babeskopia karpeta bati edo aldi berean konfiguratutako bigarren ordenagailu eramangarriari itsatsitako p12 batean. Hau bezero identitatea bazen, atebideak gako horren edozein kopia onartzen jarraituko du identitatea zerbitzari aldean ukatu arte.

OpenVPN PKI baterako, horrek ziurtagiria baliogabetzea eta crl-verify aipatzen duen CRL eguneratuta dagoela ziurtatzea esan nahi du; easyrsa revoke gero easyrsa gen-crl bertsio laburra da. Identitate hornitzaile bati lotutako atebide baterako, desgaitu erabiltzailea edo kendu gailua han, ziurtagiria jokoan dagoen kredentzial bakarra delako. Kopia lokala ezabatzeak kontua aktibo dagoen bitartean garbiketa dirudi eta ez da.

Gorabehera lanak beste ordena bat du: gorde lehenengo ziurtagiria, haren serie zenbakia eta baliogabetze erregistroa, gero ezabatu eta baliogabetu. Erregistro horiek ezer ez dute kostatzen eta ez dute laneko kredentzial bat bertan uzterik eskatzen.

Egiaztatu eskuko bidez eta bigarren aplikazio batekin

Egiaztatu katea kanpotik, oraintxe editatu duzun biltegiko zerrendatik baino. Biltegiak zure aldaketa erakusten du; eskukoak emaitza.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

0 itzulera kodeak esan nahi du gainerako aintzirek atebidea baliozkotzen dutela oraindik. Aintzira kendu ondoren kate errore bat espero den emaitza da, eta erabiltzen ari den aintzira jo duzula baieztatzen du, bezeroak inoiz irakurtzen ez duen biltegiko bikoiztu bat ez. Konexioak oraindik funtzionatzen badu, bilatu bigarren kopia bat, aplikazioan txertatutako biltegi bat edo ziurtagiri finkatu bat, guztiak ohikoak beren konfiantza zerrenda ekartzen duten bezeroetan.

Gero probatu zerikusirik ez duen zerbait: barneko gune bat, posta bezero bat, pakete ispilu bat. Horrek eragin erradioa merke neurtzen du aldaketa leihoa itxi aurretik.

• Rola identitatea, tarteko ziurtagiria edo konfiantza-aintzira gisa identifikatuta
• Serie zenbakia eta hatz-marka erregistratuta, eta kopia baimendutako kokalekura esportatuta
• Ezabaketa sintoma azaltzen duen esparrurik estuenean eginda
• Zerbitzari aldeko baimena baliogabetuta pertsona edo gailu bat joan zenean
• Eskukoa azalduta, eta zerikusirik ez duen aplikazio bat berriro probatuta
• MDM karga edo kudeaketa profila eguneratuta, bestela ziurtagiria itzultzen da

Ziurtagiria berrabiarazi ondoren itzultzen bada, lana ez da amaitu: zerbait haren jabe da eta berriro instalatzen du. Aurkitu jabe hori berriro ezabatu aurretik, hirugarren ezabaketak lehen biak bezalaxe jokatuko duelako.