ટ્રસ્ટ સ્ટોરમાંથી જૂનું VPN પ્રમાણપત્ર કેવી રીતે દૂર કરવું

તમારો VPN ક્લાયન્ટ અનઇન્સ્ટોલ થઈ ગયો છે, પ્રોફાઇલ સેટિંગ્સમાંથી ગાયબ થઈ ગઈ છે, અને ટનલ હજી પણ જૂની ઓળખપત્રો સાથે ઉપર આવે છે. અથવા તમે તેને ડિલીટ કરો છો, રીબૂટ કરો છો, અને બીજી સવારે તે પાછી મળે છે. બંનેયમાંથી એક પણ તૂટેલું ડિલીટ બટન નથી. પ્રોફાઇલ એ રૂપરેખાંકન છે; પ્રમાણપત્ર એ કી સામગ્રી ઉપરાંત એક ટ્રસ્ટ નિર્ણય છે જે એવા સ્ટોરમાં નોંધાયેલો હોય છે જે તરફ પ્રોફાઇલ ફક્ત ઇશારો કરે છે. તમારી પાસે બેમાંથી કયું છે તે નક્કી કરે છે કે 'દૂર કરવું' નો અર્થ શું હોવો જોઈએ.

પ્રોફાઇલ એ પ્રમાણપત્ર નથી

VPN સેટઅપમાં ત્રણ અલગ વસ્તુઓને 'પ્રમાણપત્ર' કહેવાય છે. ક્લાયન્ટ ઓળખ એ ખાનગી કી સાથેનું લીફ પ્રમાણપત્ર છે, અને ગેટવે તેનો ઉપયોગ તમે કોણ છો તે નક્કી કરવા માટે કરે છે. સર્વરનું પોતાનું લીફ અને તેનું ઇન્ટરમીડિયેટ એ છે જે તમારો ક્લાયન્ટ કનેક્ટ થતી વખતે ચકાસે છે. ટ્રસ્ટ એન્કર, સામાન્ય રીતે રૂટ કે ખાનગી CA પ્રમાણપત્ર, એ છે જે સાંકળને સંપૂર્ણપણે ચકાસી શકાય તેવી બનાવે છે. RFC 5280 આને ટ્રસ્ટ એન્કર, ઇન્ટરમીડિયેટ અને અંતિમ એન્ટિટી કહે છે, અને સાંકળ ત્યારે જ માન્ય થાય છે જ્યારે દરેક કડી તેની નીચેની કડી પર સહી કરે.

ઓળખ ડિલીટ કરો અને એક ડિવાઇસ પ્રવેશ ગુમાવે છે. એન્કર ડિલીટ કરો અને તે સ્ટોર સામે ચકાસતી દરેક એપ્લિકેશન તેની નીચે જારી કરાયેલ કોઈપણ વસ્તુ ચકાસવાની ક્ષમતા ગુમાવે છે, જેમાં VPN સાથે કોઈ સંબંધ ન હોય તેવા કનેક્શનનો પણ સમાવેશ થાય છે. આ અસમાનતા જ અહીં આખું જોખમ છે: એક ગેટવે માટે ઇન્સ્ટોલ કરેલું રૂટ ઘણી વાર એ જ રૂટ હોય છે જે આંતરિક પોર્ટલ, મેઇલ સર્વર કે પેકેજ મિરર પર સહી કરે છે. યાદ રાખો કે બેમાંથી કયું તમારી પાસે છે.

માલિકી નક્કી કરે છે કે ડિલીટ થયેલું ડિલીટ જ રહેશે કે નહીં. તમારા પોતાના લેપટોપ પર, પ્રમાણપત્ર પાછું મૂકી શકે તેવા એકમાત્ર તમે જ છો. મેનેજ્ડ ડિવાઇસ પર, કન્ફિગરેશન પ્રોફાઇલ કે MDM પેલોડ તેને આગલી ચેક-ઇન વખતે ફરી ઇન્સ્ટોલ કરી શકે છે, તેથી જ તે 'પાછું આવે છે' અને તેથી જ વધુ જોરથી ડિલીટ કરવાથી મદદ મળતી નથી.

કયો સ્ટોર હજી પણ તેને રાખે છે તે શોધો

લોકો સેટિંગ્સ એપથી શરૂ કરે છે, જે એક જ જગ્યા છે જ્યાં પ્રમાણપત્ર સંગ્રહિત થતું નથી. અસલી સ્થાનો OS ના ટ્રસ્ટ સ્ટોર, બ્રાઉઝરનો પોતાનો સ્ટોર અને એપ્લિકેશનનો ખાનગી સ્ટોર છે.

સીરિયલ નંબર કે ફિંગરપ્રિન્ટ પર મેળ કરો, ક્યારેય ડિસ્પ્લે નામ પર નહીં. ડિસ્પ્લે નામ તે નક્કી કરે છે જેણે પ્રમાણપત્ર જારી કર્યું છે અને તે ફરી વપરાય છે: 'Example VPN' ત્રણ અલગ કી સાથેના ત્રણ પ્રમાણપત્રો હોઈ શકે છે, જેમાંથી એક હજી દૈનિક વપરાશમાં છે.

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

macOS પર security સાધન એ જ તથ્યો આપે છે, અને find-identity બતાવે છે કે કયા પ્રમાણપત્રો સાથે હજી ખાનગી કી જોડાયેલી છે:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

સાંકડી વસ્તુ ડિલીટ કરો, વહેંચાયેલ ઇશ્યુઅર રાખો

ડિલીટ કરતાં પહેલાં એક્સપોર્ટ કરો. બેકઅપ વિના એકમાત્ર પુનઃપ્રાપ્તિ ફરી જારી કરવી છે, જે ખાનગી CA પર PKI ચલાવનાર વ્યક્તિ પાસે પાછા જવાનો અર્થ ધરાવે છે. એક્સપોર્ટ કરેલું PFX એ પણ છે જે તમે સોંપો છો જો દૂર કરવું ખોટો નિર્ણય સાબિત થાય.

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

આ -user ફ્લેગ એ છે જે લોકો અકસ્માતે છોડી દે છે. તેના વિના certutil મશીન સ્ટોર પર કામ કરે છે, જેનો અર્થ છે એલિવેટેડ શેલ, અલગ પ્રમાણપત્ર સમૂહ અને એવો પ્રભાવ વ્યાસ જે હવે મશીનના દરેક બીજા ખાતાને સમાવે છે.

macOS અને Linux પર આકાર એ જ છે: ઓળખો, એક્સપોર્ટ કરો, પછી જે સૌથી સાંકડો સ્ટોર લક્ષણ સમજાવે છે તેમાંથી દૂર કરો. /usr/local/share/ca-certificates નીચેની ફાઇલ દૂર કરવી અને update-ca-certificates ફરી ચલાવવું પૂરતું છે; --fresh ફક્ત ત્યારે જ મદદ કરે છે જ્યારે /etc/ssl/certs માંની સિમ્બોલિક લિંક પહેલેથી જ અસંગત હોય. RHEL કુટુંબની સિસ્ટમો એન્કર /etc/pki/ca-trust/source/anchors માં રાખે છે, જ્યાં trust anchor --remove એ જ કામ કરે છે.

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

CA પ્રમાણપત્ર ડિલીટ કરતાં પહેલાં, તેની સાથે બીજું શું સાંકળાય છે તે તપાસો. બંડલની અંદરના વિષયોની યાદી બે લીટીની તપાસ છે અને તે જવાબ આપે છે કે એ એન્કર બીજું કામ કરે છે કે નહીં:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

ફાઇલ ડિલીટ કરવું એ ઓળખ રદ કરવી નથી

સ્થાનિક ડિલીટ એક કોપી દૂર કરે છે. ખાનગી કી હજી પણ જૂની ટિકિટ સાથે જોડાયેલા p12માં, બેકઅપ ફોલ્ડરમાં કે એ જ સમયે સેટ કરેલા બીજા લેપટોપમાં હોઈ શકે છે. જો આ ક્લાયન્ટ ઓળખ હતી, તો ગેટવે એ કીની કોઈપણ કોપી સ્વીકારતું રહે છે જ્યાં સુધી સર્વર બાજુએ ઓળખ નકારવામાં ન આવે.

એક OpenVPN PKI માટે તેનો અર્થ પ્રમાણપત્ર રદ કરવું અને ખાતરી કરવી કે crl-verify જે CRLનો ઉલ્લેખ કરે છે તે વર્તમાન છે; easyrsa revoke પછી easyrsa gen-crl ટૂંકી આવૃત્તિ છે. ઓળખ પ્રદાતા સાથે જોડાયેલા ગેટવે માટે, ત્યાં વપરાશકર્તાને નિષ્ક્રિય કરો કે ડિવાઇસ દૂર કરો, કારણ કે પ્રમાણપત્ર રમતમાં રહેલા ફક્ત એક ઓળખપત્ર છે. ખાતું સક્રિય રહેતાં સ્થાનિક કોપી ડિલીટ કરવું સફાઈ જેવું લાગે છે અને છે નહીં.

ઘટના કાર્યનો ક્રમ અલગ છે: પહેલાં પ્રમાણપત્ર, તેનો સીરિયલ નંબર અને રદ કરવાનો રેકોર્ડ સાચવો, પછી ડિલીટ કરો અને રદ કરો. તે રેકોર્ડ કંઈ ખર્ચતા નથી અને કાર્યરત ઓળખપત્ર જગ્યાએ છોડવાની જરૂર પડતી નથી.

હેન્ડશેક અને બીજી એપ વડે ચકાસો

સાંકળ બહારથી ચકાસો, તમે હમણાં સંપાદિત કરેલા સ્ટોરની યાદીમાંથી નહીં. સ્ટોર તમારું સંપાદન બતાવે છે; હેન્ડશેક પરિણામ બતાવે છે.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

0 નો રિટર્ન કોડ એટલે બાકીના એન્કર હજી ગેટવેને માન્ય ઠેરવે છે. એન્કર દૂર કર્યા પછી સાંકળની ભૂલ અપેક્ષિત પરિણામ છે, અને તે પુષ્ટિ કરે છે કે તમે વપરાશમાંના એન્કરને જ ફટકો માર્યો છે, ક્લાયન્ટ ક્યારેય ન વાંચે તેવા સ્ટોરમાંની નકલને નહીં. જો કનેક્શન હજી કામ કરે છે, તો બીજી કોપી, એપમાં ગોઠવાયેલો સ્ટોર કે પિન કરેલું પ્રમાણપત્ર શોધો, જે બધા પોતાની ટ્રસ્ટ યાદી લાવતા ક્લાયન્ટમાં સામાન્ય છે.

પછી અસંબંધિત કંઈક ચકાસો: આંતરિક સાઇટ, મેઇલ ક્લાયન્ટ, પેકેજ મિરર. તે પરિવર્તન વિન્ડો બંધ થાય તે પહેલાં પ્રભાવ વ્યાસને સસ્તામાં માપે છે.

• ભૂમિકા ઓળખ, ઇન્ટરમીડિયેટ કે ટ્રસ્ટ એન્કર તરીકે ઓળખાઈ
• સીરિયલ નંબર અને ફિંગરપ્રિન્ટ નોંધાયા, અને કોપી મંજૂર સ્થાન પર એક્સપોર્ટ થઈ
• ડિલીટ એ સૌથી સાંકડા અવકાશમાં થયું જે લક્ષણ સમજાવે છે
• વ્યક્તિ કે ડિવાઇસ ગયા ત્યારે સર્વર બાજુની અધિકૃતિ રદ થઈ
• હેન્ડશેક સમજાવાયો, અને એક અસંબંધિત એપ ફરી ચકાસાઈ
• MDM પેલોડ કે મેનેજમેન્ટ પ્રોફાઇલ અપડેટ થયું, નહીં તો પ્રમાણપત્ર પાછું આવે

જો રીબૂટ પછી પ્રમાણપત્ર પાછું આવે, તો કામ પૂરું થયું નથી: કંઈક તેનું માલિક છે અને તેને ફરી ઇન્સ્ટોલ કરે છે. ફરી ડિલીટ કરતાં પહેલાં એ માલિકને શોધો, કારણ કે ત્રીજું ડિલીટ પહેલા બે જેવું જ વર્તશે.