Hokker falidearders beynfloedet in ekstra woartelsertifikaat?

Jo fine in woartelsertifikaat dat dêr net wêze moatte soe, en de earste fraach is waans identiteit it oannimme kin. It earlike antwurd hinget ôf fan hokker software dat bewarplak rieplachtet en hoe't jo VPN syn gateway ferifiearret. In browser, in pakketbehearder en in VPN-klant mei in fêstleine fingerôfdruk diele net needsaaklikerwize deselde fertrouwensbeslissing. Kartografearje de falidearders foardat jo de omfang beslute.

In woartel yn it systeembewarplak is gjin universele kaai

It ynstallearjen fan in woartel makket sertifikaten ûndertekene mei dy kaai akseptabel foar programma's dy't it oanbelangjende bewarplak brûke. It makket se net automatysk oeral akseptabel, om't guon applikaasjes har eigen bondel meinimme of in fêstleine wearde kontrolearje. It bewiist ek net dat immen koade op 'e masine útfierd hat; in fertrouwensferoaring is ien mooglikheid fan ferskate. Behannelje it sertifikaat as in befining om ôf te beheinen, net as it hiele ynsidint.

It bewarplak is like wichtich as it sertifikaat: in bondel op brûkersnivo en in anker op systeemnivo berikke ferskate konsuminten.

Kartografearje elke falidearder en syn fertrouwensboarne

Skriuw elk ûnderdiel op dat sertifikaten falidearret foar de oanbelangjende wurkstromen: browser, pakketbehearder, e-postklant, VPN. Fyn dan de fertrouwensboarne dy't elk fan har lêst.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

De mapylisting lit lokale tafoege ankers sjen op systemen fan it Debian-type, en de fertrouwenslist lit sjen wat it systeembewarplak op dit stuit eksposearret. In browser mei syn eigen bewarplak sil dêr net ferskine, en in Java- of Python-applikaasje kin noch in oare bondel brûke. Registrearje hokker yngongen ferwachte wurde en hokker net, mei de fingerôfdruk ynstee fan allinnich de werjûne namme. Dy list is wat in ynsidintreagearder nedich hat foardat er eat wiskt.

Kontrolearje de eigen peer-falidaasje fan 'e VPN

In VPN mei in privee CA of in eksplisite fingerôfdruk evaluearret de gateway neffens syn eigen konfiguraasje. Fergelykje wat de klant ferwachtet mei wat de gateway presintearret.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

De útfier jout de SHA-256-fingerôfdruk en it ûnderwerp fan it sertifikaat dat it einpunt presintearret, en jo kinne dy fergelykje mei de konfigurearre wearde. OpenVPN hat in peer-fingerôfdrukopsje dat dy fergeliking foar de tunnel docht sûnder te easkjen dat it systeembewarplak de ûndertekener akseptearret. Dy ûnôfhinklikheid is nuttich foar de tunnel en seit neat oer de browser. It helpt ek net as de ferwachte fingerôfdruk fan it begjin ôf kopiearre waard út 'e fertochte ferbining.

Beheine it ynsidint ta bûten it sertifikaat

Brûk de proseduere fan 'e eigner fan it apparaat om net-folbrochte ankers te ferwiderjen en te sykjen nei de feroaringen dy't der gewoanwei mei komme: nije tsjinsten, oanpaste klanten, feroare proxy-ynstellingen. Op in beheard masine befêstigje de legitime konfiguraasje foardat jo materiaal wiskje dêr't oare software fan ôfhinklik is. Registrearje foar elke falidearder wêr't syn fertrouwen wei komt, hokker identiteit er ferwachtet en hoe't jo befêstige hawwe dat de hjoeddeiske konfiguraasje kloppet. In wurkjende tunnel nei it opromjen is ien waarnimming, net it bewiis dat it einpunt skjin is.

Test dêrnei de wurkstromen opnij dy't it bewarplak brûkten, om't it ferwiderjen fan in anker in ynterne tsjinst brekke kin dy't der legitimerwei op fertroude. It herstel is klear as de ferwachte fertrouwensrelaasjes wurkje en de ûnferwachte net.