Conas deimhniú VPN as feidhm a bhaint de stór iontaoibhe

Tá do chliant VPN díshuiteáilte, tá an phróifíl imithe ó na Socruithe, agus tagann an tollán aníos fós leis na seantiúntaí. Nó scriosann tú é, atosaíonn tú, agus aimsíonn tú ar ais é an mhaidin dár gcionn. Ní cnaipe scriosta briste ceachtar acu. Is cumraíocht í próifíl; is ábhar eochrach é deimhniú móide cinneadh iontaoibhe a thaifeadtar i stór nach ndéanann an phróifíl ach tagairt dó. Cinneann cé acu den dá rud atá agat cad is gá a chiallaíonn 'baint'.

Ní deimhniú í próifíl

Tugtar 'an deimhniú' ar thrí rud éagsúla i socrú VPN. Is deimhniú duille le heochair phríobháideach í féiniúlacht an chliaint, agus úsáideann an geata é chun a shocrú cé thú. Is é duille féin an fhreastalaí agus a dheimhniú idirmheánach an rud a sheiceálann do chliant nuair a cheanglaíonn sé. Is é an t-ancaire iontaoibhe, de ghnáth deimhniú fréimhe nó CA príobháideach, an rud a dhéanann an tslabhra infhíoraithe ar chor ar bith. RFC 5280 ainmníonn sé seo an t-ancaire iontaoibhe, an deimhniú idirmheánach agus an t-eintiteas deiridh, agus ní bhíonn an tslabhra bailí ach amháin fad a shíníonn gach nasc an ceann faoina bhun.

Scrios an fhéiniúlacht agus caillfidh gléas amháin rochtain. Scrios an t-ancaire agus caillfidh gach feidhmchlár a fhíoraíonn i gcoinne an stóir sin an cumas aon rud a eisíodh faoina bhun a sheiceáil, lena n-áirítear naisc nach bhfuil baint ar bith acu leis an VPN. Is é an neamhshiméadracht sin an riosca ar fad anseo: is minic gurb é fréamh a suiteáladh do gheata amháin an fhréamh chéanna a shíníonn tairseach inmheánach, freastalaí poist nó scáthán pacáistí. Cuimhnigh cé acu den dá rud atá agat.

Cinneann úinéireacht an bhfanfaidh an scriosadh scriosta. Ar ríomhaire glúine is leatsa, is tusa an t-aon duine a fhéadann an deimhniú a chur ar ais. Ar ghléas bainistithe, féadann próifíl cumraíochta nó ualach MDM é a athshuiteáil ag an gcéad seiceáil eile, agus sin an fáth a 'dtiocfaidh sé ar ais' agus nach gcabhraíonn scriosadh níos déine.

Faigh amach cén stór a choinníonn fós é

Tosaíonn daoine san aip Socruithe, arb é an t-aon áit nach stóráiltear deimhniú. Is iad na fíorláithreacha stóir iontaoibhe an chórais oibriúcháin, stór féin an bhrabhsálaí agus stór príobháideach an fheidhmchláir.

Meaitseáil ar an sraithuimhir nó ar an méarlorg, riamh ar an ainm taispeána. Socraíonn an té a d'eisigh an deimhniú na hainmneacha taispeána agus athúsáidtear iad: féadann 'Example VPN' a bheith ina thrí dheimhniú le trí eochair éagsúla, ceann fós in úsáid laethúil.

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

Ar macOS tugann an uirlis security na fíorais chéanna, agus find-identity taispeánann sé cé na deimhnithe a bhfuil eochair phríobháideach ceangailte leo fós:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

Scrios an réad cúng, coinnigh an t-eisitheoir comhroinnte

Easpórtáil sula scriosann tú. Gan chúltaca is é an t-aon ghnóthú ná ath-eisiúint, rud a chiallaíonn ar CA príobháideach dul ar ais chuig an té a riarann an PKI. Is é an PFX easpórtáilte freisin an rud a thugann tú ar láimh má chruthaítear gur cinneadh mícheart an bhaint.

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

Is é an -user bratach an ceann a ligeann daoine tharstu trí thimpiste. Gan é oibríonn certutil ar stór an mheaisín ina ionad, rud a chiallaíonn sliogán ardaithe, tacar deimhnithe difriúil agus ga tionchair a chuimsíonn anois gach cuntas eile ar an meaisín.

Ar macOS agus Linux tá an chruth mar an gcéanna: aithnigh, easpórtáil, ansin bain ón stór is cúinge a mhíníonn an tsiomptóm. Má bhaintear an comhad faoi /usr/local/share/ca-certificates agus má ritear update-ca-certificates aris, is leor é; --fresh ní chabhraíonn sé ach nuair a bhíonn na siombailnaisc i /etc/ssl/certs neamh-chomhsheasmhach cheana féin. Coinníonn córais theaghlaigh RHEL ancaireacha i /etc/pki/ca-trust/source/anchors, áit a ndéanann trust anchor --remove an obair chéanna.

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

Sula scriosann tú deimhniú CA, seiceáil cad eile a shlabhraíonn leis. Is seiceáil dhá líne é na hábhair a liostú laistigh den bheart agus freagraíonn sé an bhfuil an t-ancaire sin ag déanamh oibre eile:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

Ní hé scriosadh an chomhaid ná cúlghairm na féiniúlachta

Baineann scriosadh áitiúil cóip amháin. Féadfaidh an eochair phríobháideach a bheith fós i p12 atá ceangailte le seanticéad, fillteán cúltaca nó an dara ríomhaire glúine a socraíodh ag an am céanna. Más féiniúlacht chliaint a bhí ann, leanann an geata ag glacadh le haon chóip den eochair sin go ndiúltaítear don fhéiniúlacht ar thaobh an fhreastalaí.

I gcás OpenVPN PKI, ciallaíonn sé sin an deimhniú a chúlghairm agus a chinntiú go bhfuil an CRL a dtagraíonn crl-verify di cothrom le dáta; easyrsa revoke ansin is é easyrsa gen-crl an leagan gairid. I gcás geata atá ceangailte le soláthraí féiniúlachta, díchumasaigh an t-úsáideoir nó bain an gléas ansin, toisc nach bhfuil sa deimhniú ach aon dintiúr amháin sa chluiche. Breathnaíonn scriosadh na cóipe áitiúla agus an cuntas fós gníomhach cosúil le glanadh, agus ní glanadh é.

Tá ord difriúil ag obair teagmhais: caomhnaigh an deimhniú, a shraithuimhir agus an taifead cúlghairme ar dtús, ansin scrios agus cúlghair. Ní chosnaíonn na taifid sin aon rud agus ní éilíonn siad dintiúr oibre a fhágáil ina áit.

Fíoraigh le croitheadh láimhe agus le dara aip

Seiceáil an tslabhra ón taobh amuigh, ní ó liosta an stóir a chuir tú in eagar díreach. Taispeánann an stór do chur in eagar; taispeánann an croitheadh láimhe an toradh.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

Ciallaíonn cód fillte 0 go bhfíoraíonn na hancaireacha atá fágtha an geata fós. Is é earráid slabhra tar éis an t-ancaire a bhaint an toradh a bhfuiltear ag súil leis, agus deimhníonn sé gur bhuail tú an t-ancaire atá in úsáid seachas dúblach i stór nach léann an cliant riamh. Má oibríonn an nasc fós, féach le haghaidh dara cóip, stór atá cuachta san aip nó deimhniú pionnáilte, gach ceann coitianta i gcliaint a sheolann a liosta iontaoibhe féin.

Ansin tástáil rud éigin neamhghaolmhar: suíomh inmheánach, cliant poist, scáthán pacáistí. Tomhaiseann sé sin an ga tionchair go saor, sula ndúnfar an fhuinneog athraithe.

• Ról aitheanta mar fhéiniúlacht, deimhniú idirmheánach nó ancaire iontaoibhe
• Sraithuimhir agus méarlorg taifeadta, agus an chóip easpórtáilte chuig an áit cheadaithe
• Scriosadh déanta sa scóip is cúinge a mhíníonn an tsiomptóm
• Údarú thaobh an fhreastalaí cúlghairthe nuair a d'imigh duine nó gléas
• Croitheadh láimhe mínithe, agus aon aip neamhghaolmhar tástáilte arís
• Ualach MDM nó próifíl bainistíochta nuashonraithe, nó tagann an deimhniú ar ais

Má tá an deimhniú ar ais tar éis atosaithe, níl an obair críochnaithe: tá rud éigin ina sheilbh agus athshuiteálann sé é. Aimsigh an t-úinéir sin sula scriosann tú arís, mar beidh an tríú scriosadh díreach mar an gcéanna leis an gcéad dá cheann.