کدام اعتبارسنج ها از یک گواهی ریشه اضافی تأثیر می‌گیرند؟

گواهی ریشه ای پیدا می‌کنید که نباید آنجا باشد، و نخستین پرسش این است که می‌تواند هویت چه کسی را جعل کند. پاسخ صادقانه به این بستگی دارد که کدام نرم افزار آن مخزن را بررسی می‌کند و VPN شما چگونه دروازه اش را تأیید می‌کند. مرورگر، مدیر بسته ها و کارخواه VPN با اثر انگشت سنجاق شده لزوماً یک تصمیم اعتماد را شریک نیستند. پیش از تعیین دامنه، اعتبارسنج ها را نقشه برداری کنید.

ریشه در مخزن سامانه کلید جهانی نیست

نصب یک ریشه، گواهی های امضا شده با آن کلید را برای برنامه هایی که از مخزن تأثیر گرفته استفاده می‌کنند پذیرفتنی می‌کند. این کار آن ها را به طور خودکار همه جا پذیرفتنی نمی‌کند، چون برخی برنامه ها بسته خود را همراه می‌آورند یا مقدار سنجاق شده ای را بررسی می‌کنند. همچنین ثابت نمی‌کند که کسی کدی روی دستگاه اجرا کرده است؛ تغییر اعتماد یکی از چند توانایی است. با گواهی به عنوان یافته ای که باید دامنه اش را مشخص کرد رفتار کنید، نه به عنوان کل رخداد.

مخزن به اندازه گواهی مهم است: بسته سطح کاربر و لنگر سطح سامانه به مصرف کنندگان متفاوتی می‌رسند.

هر اعتبارسنج و منبع اعتمادش را نقشه برداری کنید

هر مؤلفه ای را که برای جریان های کاری تأثیر گرفته گواهی ها را تأیید می‌کند بنویسید: مرورگر، مدیر بسته ها، کارخواه ایمیل، VPN. سپس منبع اعتمادی را که هر یک می‌خواند بیابید.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

فهرست دایرکتوری لنگرهای افزوده شده محلی را در سامانه های به سبک Debian نشان می‌دهد، و فهرست اعتماد نشان می‌دهد مخزن سامانه اکنون چه چیزی ارائه می‌کند. مرورگری با مخزن خودش آنجا ظاهر نمی‌شود، و برنامه Java یا Python ممکن است بسته دیگری به کار ببرد. ثبت کنید کدام ورودی ها مورد انتظارند و کدام نیستند، با استفاده از اثر انگشت و نه فقط نام نمایش داده شده. همین فهرست چیزی است که پاسخ دهنده رخداد پیش از پاک کردن هر چیز به آن نیاز دارد.

اعتبارسنجی همتا در خود VPN را بررسی کنید

یک VPN با CA خصوصی یا اثر انگشت صریح، دروازه را بر پایه پیکربندی خودش ارزیابی می‌کند. آنچه کارخواه انتظار دارد را با آنچه دروازه ارائه می‌کند مقایسه کنید.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

خروجی اثر انگشت SHA-256 و موضوع گواهی ای را می‌دهد که نقطه پایانی ارائه می‌کند، و می‌توانید آن ها را با مقدار پیکربندی شده مقایسه کنید. OpenVPN گزینه اثر انگشت همتا را دارد که این مقایسه را برای تونل انجام می‌دهد بدون آنکه لازم باشد مخزن سامانه امضاکننده را بپذیرد. این استقلال برای تونل سودمند است و درباره مرورگر چیزی نمی‌گوید. اگر اثر انگشت مورد انتظار از همان ابتدا از اتصال مشکوک کپی شده باشد، این هم کمکی نمی‌کند.

دامنه رخداد را فراتر از گواهی مشخص کنید

از روند مالک دستگاه استفاده کنید تا لنگرهای غیرمجاز را حذف کنید و تغییراتی را که معمولاً همراهشان می‌آیند جست و جو کنید: سرویس های تازه، کارخواه های تغییریافته، تنظیمات پروکسی دگرگون شده. روی دستگاهی مدیریت شده، پیش از حذف موادی که نرم افزار دیگری به آن ها وابسته است، پیکربندی مشروع را تأیید کنید. برای هر اعتبارسنج ثبت کنید اعتمادش از کجا می‌آید، چه هویتی را انتظار دارد و چگونه تأیید کردید که پیکربندی کنونی درست است. تونل کارکننده پس از پاکسازی یک مشاهده است، نه گواه آنکه نقطه پایانی پاک است.

سپس جریان های کاری ای را که از مخزن استفاده می‌کردند دوباره بیازمایید، چون حذف یک لنگر می‌تواند سرویس داخلی ای را که به درستی به آن تکیه داشت بشکند. بازیابی زمانی کامل می‌شود که روابط اعتماد مورد انتظار کار کنند و روابط غیرمنتظره نکنند.