વધારાનું રૂટ સર્ટિફિકેટ કયા વેલિડેટરોને અસર કરે છે?

તમને એવું રૂટ સર્ટિફિકેટ મળે છે જે ત્યાં ન હોવું જોઈએ, અને પહેલો પ્રશ્ન એ છે કે તે કોની ઓળખનું અનુકરણ કરી શકે. પ્રામાણિક જવાબ એના પર આધાર રાખે છે કે કયું સોફ્ટવેર એ સ્ટોરની સલાહ લે છે અને તમારું VPN તેના ગેટવેને કેવી રીતે ચકાસે છે. બ્રાઉઝર, પેકેજ મેનેજર અને પિન કરેલા ફિંગરપ્રિન્ટવાળું VPN ક્લાયન્ટ જરૂરી નથી કે એક જ ટ્રસ્ટ નિર્ણય વહેંચે. વ્યાપકતા નક્કી કરતા પહેલાં વેલિડેટરોનું મેપિંગ કરો.

સિસ્ટમ સ્ટોરમાંનું રૂટ સાર્વત્રિક ચાવી નથી

રૂટ ઇન્સ્ટોલ કરવાથી એ ચાવીથી સહી કરેલા સર્ટિફિકેટ એ સ્ટોરનો ઉપયોગ કરતા પ્રોગ્રામો માટે સ્વીકાર્ય બને છે. તે એમને આપમેળે દરેક જગ્યાએ સ્વીકાર્ય બનાવતું નથી, કારણ કે કેટલાક એપ્લિકેશન પોતાનું બંડલ સાથે લાવે છે અથવા પિન કરેલું મૂલ્ય ચકાસે છે. તે એ પણ સાબિત કરતું નથી કે કોઈએ મશીન પર કોડ ચલાવ્યો છે; ટ્રસ્ટ ફેરફાર એ ઘણી ક્ષમતાઓમાંથી એક છે. સર્ટિફિકેટને આખી ઘટના તરીકે નહીં, પરંતુ વ્યાપકતા નક્કી કરવાની શોધ તરીકે ગણો.

સ્ટોર સર્ટિફિકેટ જેટલું જ મહત્ત્વનું છે: વપરાશકર્તા-સ્તરનું બંડલ અને સિસ્ટમ-વ્યાપી એન્કર અલગ અલગ ગ્રાહકો સુધી પહોંચે છે.

દરેક વેલિડેટર અને તેના ટ્રસ્ટ સ્રોતનું મેપિંગ કરો

અસરગ્રસ્ત વર્કફ્લો માટે સર્ટિફિકેટ ચકાસતા દરેક ઘટક લખો: બ્રાઉઝર, પેકેજ મેનેજર, મેઇલ ક્લાયન્ટ, VPN. પછી દરેક જે ટ્રસ્ટ સ્રોત વાંચે છે તે શોધો.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

ડિરેક્ટરી સૂચિ Debian-શૈલીની સિસ્ટમોમાં સ્થાનિક રીતે ઉમેરાયેલા એન્કર દર્શાવે છે, અને ટ્રસ્ટ સૂચિ દર્શાવે છે કે સિસ્ટમ સ્ટોર હાલમાં શું આપે છે. પોતાનું સ્ટોર ધરાવતું બ્રાઉઝર ત્યાં દેખાશે નહીં, અને Java કે Python એપ્લિકેશન બીજું બંડલ વાપરી શકે છે. કઈ એન્ટ્રીઓ અપેક્ષિત છે અને કઈ નથી તે ફક્ત દર્શાવેલા નામને બદલે ફિંગરપ્રિન્ટનો ઉપયોગ કરીને નોંધો. કંઈપણ ડિલીટ કરતા પહેલાં ઘટના પ્રતિસાદકર્તાને આ સૂચિની જરૂર પડે છે.

VPN ની પોતાની પીઅર ચકાસણી તપાસો

જે VPN માં ખાનગી CA અથવા સ્પષ્ટ ફિંગરપ્રિન્ટ હોય તે ગેટવેને તેની પોતાની રૂપરેખાંકન સામે મૂલ્યાંકન કરે છે. ક્લાયન્ટ શું અપેક્ષા રાખે છે અને ગેટવે શું રજૂ કરે છે તેની સરખામણી કરો.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

આઉટપુટ એન્ડપોઇન્ટ જે સર્ટિફિકેટ રજૂ કરે છે તેનું SHA-256 ફિંગરપ્રિન્ટ અને સબ્જેક્ટ આપે છે, જેને તમે કન્ફિગર કરેલા મૂલ્ય સાથે સરખાવી શકો છો. OpenVPN માં પીઅર-ફિંગરપ્રિન્ટ વિકલ્પ છે જે સિસ્ટમ સ્ટોરને સહીકર્તાને સ્વીકારવાની જરૂર વિના ટનલ માટે એ સરખામણી કરે છે. એ સ્વતંત્રતા ટનલ માટે ઉપયોગી છે અને બ્રાઉઝર વિશે કંઈ કહેતી નથી. જો અપેક્ષિત ફિંગરપ્રિન્ટ શરૂઆતમાં જ શંકાસ્પદ કનેક્શનમાંથી કોપી કરવામાં આવી હોય તો તે પણ મદદ કરતી નથી.

સર્ટિફિકેટથી આગળ ઘટનાની વ્યાપકતા નક્કી કરો

અનધિકૃત એન્કર દૂર કરવા અને સામાન્ય રીતે તેમની સાથે આવતા ફેરફારો શોધવા માટે ઉપકરણ માલિકની પ્રક્રિયા વાપરો: નવી સેવાઓ, સંશોધિત ક્લાયન્ટ, બદલાયેલી પ્રોક્સી સેટિંગ્સ. મેનેજ કરેલ મશીન પર, બીજા સોફ્ટવેર આધાર રાખે છે તેવી સામગ્રી ડિલીટ કરતા પહેલાં કાયદેસર રૂપરેખાંકનની પુષ્ટિ કરો. દરેક વેલિડેટર માટે નોંધો કે તેનો ટ્રસ્ટ ક્યાંથી આવે છે, તે કઈ ઓળખની અપેક્ષા રાખે છે અને વર્તમાન રૂપરેખાંકન સાચું છે તે તમે કેવી રીતે પુષ્ટિ કરી. સફાઈ પછીની કાર્યકારી ટનલ એ એક અવલોકન છે, એન્ડપોઇન્ટ સ્વચ્છ હોવાનો પુરાવો નહીં.

પછી સ્ટોર વાપરતા વર્કફ્લોની ફરી ચકાસણી કરો, કારણ કે એન્કર દૂર કરવાથી એ આંતરિક સેવા તૂટી શકે છે જે કાયદેસર રીતે તેના પર આધાર રાખતી હતી. પુનઃપ્રાપ્તિ ત્યારે પૂર્ણ થાય છે જ્યારે અપેક્ષિત ટ્રસ્ટ સંબંધો કામ કરે છે અને અનપેક્ષિત નથી કરતા.