एक अतिरिक्त रूट प्रमाणपत्र किन सत्यापनकर्ताओं को प्रभावित करता है?

आपको एक ऐसा रूट प्रमाणपत्र मिलता है जो वहाँ नहीं होना चाहिए, और पहला सवाल यह है कि यह किसकी पहचान का रूप धर सकता है। ईमानदार जवाब इस पर निर्भर करता है कि कौन-सा सॉफ़्टवेयर उस स्टोर से परामर्श लेता है और आपका VPN अपने गेटवे को कैसे सत्यापित करता है। एक ब्राउज़र, एक पैकेज प्रबंधक और पिन किए गए फ़िंगरप्रिंट वाला VPN क्लाइंट ज़रूरी नहीं कि एक ही भरोसा निर्णय साझा करें। दायरा तय करने से पहले सत्यापनकर्ताओं का मानचित्र बनाएँ।

सिस्टम स्टोर में रूट कोई सार्वभौमिक कुंजी नहीं है

रूट स्थापित करने से उस कुंजी से हस्ताक्षरित प्रमाणपत्र उन प्रोग्रामों के लिए स्वीकार्य हो जाते हैं जो प्रभावित स्टोर का उपयोग करते हैं। यह उन्हें स्वतः हर जगह स्वीकार्य नहीं बनाता, क्योंकि कुछ एप्लिकेशन अपना बंडल लाते हैं या पिन किया गया मान जाँचते हैं। यह यह भी सिद्ध नहीं करता कि किसी ने मशीन पर कोड चलाया; भरोसा बदलना कई क्षमताओं में से एक है। प्रमाणपत्र को पूरी घटना के रूप में नहीं, बल्कि सीमा तय करने योग्य निष्कर्ष के रूप में देखें।

स्टोर प्रमाणपत्र जितना ही महत्वपूर्ण है: उपयोगकर्ता-स्तरीय बंडल और सिस्टम-व्यापी एंकर अलग-अलग उपभोक्ताओं तक पहुँचते हैं।

हर सत्यापनकर्ता और उसके भरोसा स्रोत का मानचित्र बनाएँ

प्रभावित वर्कफ़्लो के लिए प्रमाणपत्र सत्यापित करने वाले हर घटक को लिखें: ब्राउज़र, पैकेज प्रबंधक, मेल क्लाइंट, VPN। फिर वह भरोसा स्रोत खोजें जिसे हर एक पढ़ता है।

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

डायरेक्टरी सूची Debian-शैली के सिस्टमों में स्थानीय रूप से जोड़े गए एंकर दिखाती है, और भरोसा सूची दिखाती है कि सिस्टम स्टोर अभी क्या प्रस्तुत करता है। अपना स्टोर रखने वाला ब्राउज़र वहाँ नहीं दिखेगा, और Java या Python एप्लिकेशन किसी और बंडल का उपयोग कर सकता है। कौन-सी प्रविष्टियाँ अपेक्षित हैं और कौन-सी नहीं, यह केवल दिखाए गए नाम के बजाय फ़िंगरप्रिंट का उपयोग करके दर्ज करें। कुछ भी हटाने से पहले घटना प्रतिक्रिया कर्ता को यही सूची चाहिए।

VPN के अपने पीयर सत्यापन की जाँच करें

जिस VPN में निजी CA या स्पष्ट फ़िंगरप्रिंट होता है, वह गेटवे का मूल्यांकन अपने स्वयं के कॉन्फ़िगरेशन के अनुसार करता है। क्लाइंट क्या अपेक्षा करता है और गेटवे क्या प्रस्तुत करता है, इसकी तुलना करें।

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

आउटपुट एंडपॉइंट द्वारा प्रस्तुत प्रमाणपत्र का SHA-256 फ़िंगरप्रिंट और विषय देता है, जिसे आप कॉन्फ़िगर किए गए मान से तुलना कर सकते हैं। OpenVPN में पीयर-फ़िंगरप्रिंट विकल्प है जो सिस्टम स्टोर को हस्ताक्षरकर्ता स्वीकार करने की आवश्यकता के बिना टनल के लिए यह तुलना करता है। यह स्वतंत्रता टनल के लिए उपयोगी है और ब्राउज़र के बारे में कुछ नहीं कहती। यह तब भी मदद नहीं करती जब अपेक्षित फ़िंगरप्रिंट शुरू से ही संदिग्ध कनेक्शन से कॉपी किया गया हो।

प्रमाणपत्र से आगे घटना का दायरा तय करें

अनधिकृत एंकर हटाने और आमतौर पर उनके साथ आने वाले बदलावों को खोजने के लिए डिवाइस मालिक की प्रक्रिया का उपयोग करें: नई सेवाएँ, संशोधित क्लाइंट, बदली गई प्रॉक्सी सेटिंग्स। प्रबंधित मशीन पर, अन्य सॉफ़्टवेयर जिन पर निर्भर है उन सामग्रियों को हटाने से पहले वैध कॉन्फ़िगरेशन की पुष्टि करें। हर सत्यापनकर्ता के लिए दर्ज करें कि उसका भरोसा कहाँ से आता है, वह किस पहचान की अपेक्षा करता है और आपने कैसे पुष्टि की कि वर्तमान कॉन्फ़िगरेशन सही है। सफ़ाई के बाद काम कर रही टनल एक अवलोकन है, एंडपॉइंट स्वच्छ होने का प्रमाण नहीं।

फिर उन वर्कफ़्लो का दोबारा परीक्षण करें जो स्टोर का उपयोग करते थे, क्योंकि एंकर हटाने से कोई आंतरिक सेवा टूट सकती है जो वैध रूप से उस पर निर्भर थी। पुनर्प्राप्ति तब पूरी होती है जब अपेक्षित भरोसा संबंध काम करते हैं और अनपेक्षित नहीं करते।