Mely ellenőrzőkre hat egy további gyökértanúsítvány?

Talál egy gyökértanúsítványt, amelynek nem lenne szabad ott lennie, és az első kérdés az, kinek az identitását utánozhatja. Az őszinte válasz attól függ, melyik szoftver kérdez le abból a tárolóból, és hogyan ellenőrzi a VPN-je az átjáróját. Egy böngésző, egy csomagkezelő és egy rögzített ujjlenyomattal rendelkező VPN-kliens nem feltétlenül osztozik ugyanazon a bizalmi döntésen. A hatókör eldöntése előtt térképezze fel az ellenőrzőket.

A rendszertárolóban lévő gyökér nem univerzális kulcs

A gyökér telepítése elfogadhatóvá teszi az ezzel a kulccsal aláírt tanúsítványokat azoknak a programoknak, amelyek az érintett tárolót használják. Ez nem teszi őket automatikusan mindenhol elfogadhatóvá, mert egyes alkalmazások saját csomagot hoznak, vagy rögzített értéket ellenőriznek. Az sem bizonyítja, hogy valaki kódot futtatott a gépen; a bizalmi változás egy a több képesség közül. Kezelje a tanúsítványt körülhatárolandó leletként, nem az egész incidensként.

A tároló ugyanolyan fontos, mint a tanúsítvány: a felhasználói szintű csomag és a rendszerszintű horgony különböző fogyasztókhoz jut el.

Térképezze fel az egyes ellenőrzőket és bizalmi forrásaikat

Írja fel minden olyan összetevőt, amely tanúsítványokat ellenőriz az érintett munkafolyamatokhoz: böngésző, csomagkezelő, levelezőklien, VPN. Ezután keresse meg a bizalmi forrást, amelyet mindegyik olvas.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

A könyvtárlistázás a helyileg hozzáadott horgonyokat mutatja a Debian-stílusú rendszereken, a bizalmi lista pedig azt mutatja, amit a rendszertároló jelenleg közzétesz. Egy saját tárolóval rendelkező böngésző nem jelenik meg ott, és egy Java vagy Python alkalmazás még egy másik csomagot használhat. Jegyezze fel, mely bejegyzések várhatók és melyek nem, az ujjlenyomatot használva, nem csak a megjelenített nevet. Ez a lista az, amire egy incidenskezelőnek szüksége van, mielőtt bármit töröl.

Ellenőrizze a VPN saját társellenőrzését

Egy VPN privát CA-val vagy explicit ujjlenyomattal a saját konfigurációja alapján értékeli az átjárót. Hasonlítsa össze, mit vár a kliens azzal, amit az átjáró bemutat.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

A kimenet megadja a végpont által bemutatott tanúsítvány SHA-256 ujjlenyomatát és tárgyát, amelyeket összevethet a beállított értékkel. OpenVPN társ-ujjlenyomat beállítása elvégzi ezt az összehasonlítást az alagút számára anélkül, hogy a rendszertárolónak el kellene fogadnia az aláírót. Ez a függetlenség hasznos az alagútnál, és semmit sem mond a böngészőről. Az sem segít, ha a várt ujjlenyomatot már a kezdetektől a gyanús kapcsolatból másolták.

Határolja körül az incidenst a tanúsítványon túl

Az eszköz tulajdonosának eljárásával távolítsa el az illetéktelen horgonyokat, és keresse azokat a változásokat, amelyek általában kísérik őket: új szolgáltatások, módosított kliensek, megváltoztatott proxybeállítások. Kezelt gépen erősítse meg a jogszerű konfigurációt, mielőtt olyan anyagot töröl, amelytől más szoftver függ. Minden ellenőrzőnél jegyezze fel, honnan származik a bizalma, milyen identitást vár, és hogyan erősítette meg, hogy a jelenlegi konfiguráció helyes. A tisztítás utáni működő alagút egy megfigyelés, nem bizonyítéka annak, hogy a végpont tiszta.

Ezután tesztelje újra azokat a munkafolyamatokat, amelyek a tárolót használták, mert egy horgony eltávolítása megtörhet egy belső szolgáltatást, amely jogszerűen támaszkodott rá. A helyreállítás akkor fejeződik be, amikor a várt bizalmi kapcsolatok működnek, a nem vártak pedig nem.