Mihin validaattoreihin ylimääräinen juurivarmenne vaikuttaa?

Löydät juurivarmenteen, jonka ei pitäisi olla siellä, ja ensimmäinen kysymys on, kenen identiteettiä se voi esittää. Rehellinen vastaus riippuu siitä, mikä ohjelmisto tarkistaa kyseistä säilöä ja miten VPN:si varmistaa yhdyskäytävänsä. Selain, paketinhallinta ja kiinnitetyllä sormenjäljellä varustettu VPN-asiakasohjelma eivät välttämättä jaa samaa luottamuspäätöstä. Kartoita validaattorit ennen laajuuden päättämistä.

Järjestelmäsäilön juuri ei ole yleisavain

Juuren asentaminen tekee kyseisellä avaimella allekirjoitetuista varmenteista hyväksyttäviä ohjelmille, jotka käyttävät kyseistä säilöä. Se ei tee niistä automaattisesti hyväksyttäviä kaikkialla, koska jotkin sovellukset tuovat mukanaan oman nippunsa tai tarkistavat kiinnitetyn arvon. Se ei myöskään todista, että joku olisi suorittanut koodia koneella; luottamuksen muutos on yksi useista valmiuksista. Käsittele varmennetta rajattavana löydöksenä, älä koko tapauksena.

Säilö on yhtä tärkeä kuin varmenne: käyttäjätason nippu ja järjestelmätason ankkuri tavoittavat eri kuluttajat.

Kartoita jokainen validaattori ja sen luottamuslähde

Kirjaa jokainen komponentti, joka validoi varmenteita kyseisissä työnkuluissa: selain, paketinhallinta, sähköpostiohjelma, VPN. Etsi sitten luottamuslähde, jota kukin niistä lukee.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Hakemistolista näyttää paikallisesti lisätyt ankkurit Debian-tyylisissä järjestelmissä, ja luottamuslista näyttää, mitä järjestelmäsäilö tällä hetkellä tarjoaa. Selain, jolla on oma säilö, ei näy siellä, ja Java- tai Python-sovellus voi käyttää vielä toista nippua. Kirjaa, mitkä merkinnät ovat odotettuja ja mitkä eivät, käyttäen sormenjälkeä eikä vain näytettyä nimeä. Tämä lista on se, mitä tapahtuman käsittelijä tarvitsee ennen kuin mitään poistetaan.

Tarkista VPN:n oma vertaisvalidointi

VPN, jolla on yksityinen CA tai eksplisiittinen sormenjälki, arvioi yhdyskäytävää oman määrityksensä perusteella. Vertaa sitä, mitä asiakasohjelma odottaa, siihen, mitä yhdyskäytävä esittää.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Tuloste antaa päätepisteen esittämän varmenteen SHA-256-sormenjäljen ja kohteen, ja voit verrata niitä määritettyyn arvoon. OpenVPN:n vertais-sormenjälkivaihtoehto tekee tämän vertailun tunnelille ilman, että järjestelmäsäilön täytyy hyväksyä allekirjoittaja. Tämä riippumattomuus on hyödyllistä tunnelille eikä kerro selaimesta mitään. Se ei myöskään auta, jos odotettu sormenjälki kopioitiin epäilyttävästä yhteydestä alun perin.

Rajaa tapaus varmenteen ulkopuolelle

Käytä laitteen omistajan menettelyä luvattomien ankkurien poistamiseen ja etsi muutokset, jotka yleensä liittyvät niihin: uudet palvelut, muokatut asiakasohjelmat, muutetut välityspalvelinasetukset. Hallinnoidulla koneella vahvista laillinen määritys ennen kuin poistat materiaalia, josta muu ohjelmisto riippuu. Kirjaa jokaisesta validaattorista, mistä sen luottamus tulee, mitä identiteettiä se odottaa ja miten vahvistit nykyisen määrityksen oikeaksi. Puhdistuksen jälkeinen toimiva tunneli on yksi havainto, ei todiste siitä, että päätepiste on puhdas.

Testaa sitten uudelleen ne työnkulut, jotka käyttivät säilöä, koska ankkurin poistaminen voi rikkoa sisäisen palvelun, joka tukeutui siihen laillisesti. Palautuminen on valmis, kun odotetut luottamussuhteet toimivat eivätkä odottamattomat.