Ո՞ր վավերացնողների վրա է ազդում լրացուցիչ արմատային վկայագիրը։

Դուք գտնում եք արմատային վկայագիր, որն այնտեղ չպետք է լինի, և առաջին հարցն այն է, թե ում ինքնությունը այն կարող է կեղծել։ Ազնիվ պատասխանը կախված է նրանից, թե որ ծրագիրն է դիմում այդ պահոցին և ինչպես է ձեր VPN-ը ստուգում իր դարպասը։ Զննարկիչը, փաթեթների կառավարիչը և ամրացված մատնահետքով VPN-հաճախորդը պարտադիր չէ, որ կիսեն վստահության նույն որոշումը։ Քարտեզագրե՛ք վավերացնողներին նախքան շրջանակը որոշելը։

Համակարգային պահոցում արմատը համընդհանուր բանալի չէ

Արմատ տեղադրելը այդ բանալիով ստորագրված վկայագրերը դարձնում է ընդունելի այն ծրագրերի համար, որոնք օգտագործում են տուժած պահոցը։ Դա նրանց ավտոմատ կերպով ամենուր ընդունելի չի դարձնում, քանի որ որոշ հավելվածներ բերում են իրենց սեփական փաթեթը կամ ստուգում են ամրացված արժեք։ Այն նաև չի ապացուցում, որ ինչ-որ մեկը կոդ է գործարկել սարքում. վստահության փոփոխությունը մեկ հնարավորություն է մի քանիսից։ Վկայագրին վերաբերվե՛ք որպես սահմանազատման ենթակա հայտնաբերումի, ոչ թե ամբողջ միջադեպի։

Պահոցը նույնքան կարևոր է, որքան վկայագիրը. օգտվողի մակարդակի փաթեթը և համակարգային մակարդակի խարիսխը հասնում են տարբեր սպառողների։

Քարտեզագրե՛ք յուրաքանչյուր վավերացնող և նրա վստահության աղբյուրը

Գրե՛ք յուրաքանչյուր բաղադրիչ, որը վկայագրեր է վավերացնում տուժած աշխատահոսքերի համար. զննարկիչ, փաթեթների կառավարիչ, փոստի հաճախորդ, VPN։ Այնուհետև գտե՛ք վստահության այն աղբյուրը, որը կարդում է դրանցից յուրաքանչյուրը։

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Գրացուցակի ցանկը ցույց է տալիս տեղում ավելացված խարիսխները Debian-ոճի համակարգերում, իսկ վստահության ցանկը ցույց է տալիս, թե համակարգային պահոցը ներկայումս ինչ է ներկայացնում։ Իր սեփական պահոցով զննարկիչը այնտեղ չի հայտնվի, և Java կամ Python հավելվածը կարող է օգտագործել ևս մեկ փաթեթ։ Գրանցե՛ք, թե որ գրառումներն են սպասվում և որոնք՝ ոչ, օգտագործելով մատնահետքը, այլ ոչ միայն ցուցադրվող անունը։ Այդ ցանկն է, ինչ անհրաժեշտ է միջադեպին արձագանքողին նախքան որևէ բան ջնջելը։

Ստուգե՛ք VPN-ի սեփական զուգընկերոջ վավերացումը

VPN-ը, որն ունի մասնավոր CA կամ բացահայտ մատնահետք, գնահատում է դարպասը ըստ իր սեփական կարգավորման։ Համեմատե՛ք, թե ինչ է սպասում հաճախորդը և ինչ է ներկայացնում դարպասը։

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Ելքը տալիս է SHA-256 մատնահետքը և այն վկայագրի սուբյեկտը, որը ներկայացնում է վերջնակետը, և կարող եք դրանք համեմատել կարգավորված արժեքի հետ։ OpenVPN-ը ունի զուգընկերոջ մատնահետքի տարբերակ, որն անում է այդ համեմատությունը թունելի համար՝ առանց պահանջելու, որ համակարգային պահոցը ընդունի ստորագրողին։ Այդ անկախությունը օգտակար է թունելի համար և ոչինչ չի ասում զննարկիչի մասին։ Այն նույնպես չի օգնում, եթե սպասվող մատնահետքը սկզբից պատճենվել է կասկածելի կապից։

Սահմանազատե՛ք միջադեպը վկայագրից այն կողմ

Օգտագործե՛ք սարքի սեփականատիրոջ ընթացակարգը՝ չարտոնված խարիսխները հեռացնելու և սովորաբար դրանց ուղեկցող փոփոխությունները փնտրելու համար. նոր ծառայություններ, փոփոխված հաճախորդներ, փոփոխված վստահորդի կարգավորումներ։ Կառավարվող սարքում հաստատե՛ք օրինական կարգավորումը նախքան այն նյութը ջնջելը, որից կախված է այլ ծրագիր։ Յուրաքանչյուր վավերացնողի համար գրանցե՛ք, թե որտեղից է գալիս նրա վստահությունը, ինչ ինքնություն է սպասում, և ինչպես եք հաստատել, որ ընթացիկ կարգավորումը ճիշտ է։ Մաքրումից հետո աշխատող թունելը մեկ դիտարկում է, ոչ թե ապացույց, որ վերջնակետը մաքուր է։

Այնուհետև կրկին փորձարկե՛ք այն աշխատահոսքերը, որոնք օգտագործում էին պահոցը, քանի որ խարիսխի հեռացումը կարող է կոտրել ներքին ծառայություն, որը օրինականորեն հենվում էր դրա վրա։ Վերականգնումն ավարտված է, երբ սպասվող վստահության հարաբերությունները աշխատում են, իսկ անսպասելիները՝ ոչ։