Ինչպես հեռացնել հնացած VPN վկայականը վստահության պահոցից

Ձեր VPN հաճախորդը տեղահանված է, պրոֆիլը անհետացել է Կարգավորումներից, իսկ թունելը դեռ բարձրանում է հին հավատարմագրերով։ Կամ ջնջում եք այն, վերագործարկում, և հաջորդ առավոտ գտնում եք վերադարձած։ Դրանցից ոչ մեկը կոտրված ջնջման կոճակ չէ։ Պրոֆիլը կոնֆիգուրացիա է. վկայականը բանալու նյութ է գումարած վստահության որոշում, որը գրանցված է պահոցում, որին պրոֆիլը միայն մատնանշում է։ Դրանցից որն եք պահում, դա է որոշում, թե ինչ պետք է նշանակի 'հեռացնելը'։

Պրոֆիլը վկայական չէ

VPN կարգաբերման մեջ 'վկայական' են կոչվում երեք տարբեր օբյեկտներ։ Հաճախորդի ինքնությունը մասնավոր բանալիով տերևային վկայական է, և դարպասը դրանով է որոշում, թե ով եք դուք։ Սերվերի սեփական տերևային վկայականը և նրա միջանկյալ վկայականն այն են, ինչ ձեր հաճախորդը ստուգում է միանալիս։ Վստահության խարիսխը, սովորաբար արմատային կամ մասնավոր CA վկայական, այն է, ինչը շղթան ընդհանրապես դարձնում է ստուգելի։ RFC 5280 այս անվանում է վստահության խարիսխ, միջանկյալ վկայական և վերջնական սուբյեկտ, և շղթան վավեր է միայն այնքան ժամանակ, քանի դեռ յուրաքանչյուր օղակ ստորագրում է ներքևինը։

Ջնջեք ինքնությունը, և մեկ սարք կկորցնի հասանելիությունը։ Ջնջեք խարիսխը, և այդ պահոցի դեմ ստուգող յուրաքանչյուր հավելված կկորցնի դրա ներքո թողարկված ցանկացած բան ստուգելու ունակությունը, ներառյալ կապերը, որոնք ոչ մի կապ չունեն VPN-ի հետ։ Այս ասիմետրիան է այստեղ ողջ ռիսկը. մեկ դարպասի համար տեղադրված արմատը հաճախ նույն արմատն է, որը ստորագրում է ներքին պորտալը, փոստային սերվերը կամ փաթեթների հայելին։ Հիշեք, թե երկուսից որն եք պահում։

Սեփականությունը որոշում է, թե ջնջումը ջնջված կմնա, թե ոչ։ Ձեր սեփական նոթբուքում միայն դուք կարող եք վկայականը վերադարձնել։ Կառավարվող սարքում կոնֆիգուրացիայի պրոֆիլը կամ MDM բեռը կարող է այն վերատեղադրել հաջորդ ստուգման ժամանակ, դրա համար է այն 'վերադառնում', և դրա համար ավելի ուժեղ ջնջելը չի օգնում։

Պարզեք, թե որ պահոցը դեռ պահում է այն

Մարդիկ սկսում են Կարգավորումներ հավելվածից, որը միակ տեղն է, որտեղ վկայական չի պահվում։ Իրական վայրերն են օպերացիոն համակարգի վստահության պահոցները, դիտարկիչի սեփական պահոցը և հավելվածի մասնավոր պահոցը։

Համեմատեք սերիական համարով կամ մատնահետքով, երբեք ցուցադրվող անունով։ Ցուցադրվող անունները սահմանում է նա, ով թողարկել է վկայականը, և դրանք կրկին օգտագործվում են. 'Example VPN'-ը կարող է լինել երեք վկայական երեք տարբեր բանալիներով, որոնցից մեկը դեռ ամենօրյա օգտագործման մեջ է։

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

macOS-ում security գործիքը տալիս է նույն փաստերը, և find-identity ցույց է տալիս, թե որ վկայականներին դեռ կցված է մասնավոր բանալի:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

Ջնջեք նեղ օբյեկտը, պահեք ընդհանուր թողարկողին

Արտահանեք ջնջելուց առաջ։ Առանց պահուստի միակ վերականգնումը վերաթողարկումն է, որը մասնավոր CA-ում նշանակում է վերադառնալ նրան, ով կառավարում է PKI-ն։ Արտահանված PFX-ը նաև այն է, ինչ հանձնում եք, եթե հեռացումը պարզվի սխալ որոշում։

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

Այն -user դրոշակն է, որը մարդիկ պատահաբար բաց են թողնում։ Առանց դրա certutil-ը աշխատում է մեքենայի պահոցի վրա, ինչը նշանակում է բարձրացված shell, վկայականների այլ հավաքածու և ազդեցության շառավիղ, որն այժմ ներառում է մեքենայի բոլոր մյուս հաշիվները։

macOS-ում և Linux-ում ձևը նույնն է. նույնականացրեք, արտահանեք, ապա հեռացրեք ամենանեղ պահոցից, որը բացատրում է ախտանիշը։ /usr/local/share/ca-certificates -ի տակ գտնվող ֆայլը հեռացնելը և update-ca-certificates -ը կրկին գործարկելը բավարար է. --fresh օգնում է միայն այն դեպքում, երբ /etc/ssl/certs -ի սիմլինկերն արդեն անհամատեղելի են։ RHEL ընտանիքի համակարգերը խարիսխները պահում են /etc/pki/ca-trust/source/anchors-ում, որտեղ trust anchor --remove -ը կատարում է նույն աշխատանքը։

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

CA վկայականը ջնջելուց առաջ ստուգեք, թե ինչ այլ բան է շղթայվում դրան։ Փաթեթի ներսի սուբյեկտները թվարկելը երկու տողանոց ստուգում է և պատասխանում է, թե արդյոք այդ խարիսխը այլ աշխատանք է կատարում:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

Ֆայլը ջնջելը ինքնության չեղարկում չէ

Տեղական ջնջումը հեռացնում է մեկ պատճեն։ Մասնավոր բանալին կարող է դեռ մնալ հին տոմսին կցված p12-ում, պահուստային պանակում կամ նույն ժամանակ կարգավորված երկրորդ նոթբուքում։ Եթե սա հաճախորդի ինքնություն էր, դարպասը շարունակում է ընդունել այդ բանալու ցանկացած պատճեն, մինչև ինքնությունը մերժվի սերվերի կողմից։

Մեկ OpenVPN PKI-ի համար դա նշանակում է չեղարկել վկայականը և համոզվել, որ crl-verify -ի հղած CRL-ը արդի է. easyrsa revoke ապա easyrsa gen-crl -ը կարճ տարբերակն է։ Ինքնության մատակարարին կապված դարպասի համար այնտեղ անջատեք օգտատիրոջը կամ հեռացրեք սարքը, որովհետև վկայականը խաղի մեջ միայն մեկ հավատարմագիր է։ Տեղական պատճենը ջնջելը, մինչ հաշիվը ակտիվ է մնում, մաքրություն է թվում, բայց այդպես չէ։

Միջադեպի աշխատանքն այլ կարգ ունի. նախ պահպանեք վկայականը, նրա սերիական համարը և չեղարկման գրառումը, ապա ջնջեք և չեղարկեք։ Այդ գրառումները ոչինչ չեն արժեն և չեն պահանջում աշխատող հավատարմագիր թողնել տեղում։

Ստուգեք ձեռքսեղմումով և երկրորդ հավելվածով

Շղթան ստուգեք դրսից, ոչ թե ձեր նոր խմբագրած պահոցի ցանկից։ Պահոցը ցույց է տալիս ձեր խմբագրումը. ձեռքսեղմումը ցույց է տալիս արդյունքը։

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

0 վերադարձի կոդը նշանակում է, որ մնացած խարիսխները դեռ վավերացնում են դարպասը։ Խարիսխը հեռացնելուց հետո շղթայի սխալը սպասված արդյունքն է, և այն հաստատում է, որ դուք դիպել եք օգտագործվող խարիսխին, այլ ոչ թե կրկնօրինակի այն պահոցում, որը հաճախորդը երբեք չի կարդում։ Եթե կապը դեռ աշխատում է, փնտրեք երկրորդ պատճեն, հավելվածում ներկառուցված պահոց կամ ամրացված վկայական, որոնք բոլորը սովորական են սեփական վստահության ցանկը բերող հաճախորդներում։

Ապա փորձարկեք ինչ-որ անկապ բան. ներքին կայք, փոստային հաճախորդ, փաթեթների հայելի։ Դա էժանորեն չափում է ազդեցության շառավիղը, մինչ փոփոխության պատուհանը կփակվի։

• Դերը նույնականացված է որպես ինքնություն, միջանկյալ վկայական կամ վստահության խարիսխ
• Սերիական համարը և մատնահետքը գրանցված են, իսկ պատճենը արտահանված է հաստատված վայր
• Ջնջումը կատարվել է ախտանիշը բացատրող ամենանեղ շրջանակում
• Սերվերի կողմի թույլտվությունը չեղարկվել է, երբ մարդ կամ սարք հեռացել է
• Ձեռքսեղմումը բացատրվել է, և մեկ անկապ հավելված կրկին փորձարկվել է
• MDM բեռը կամ կառավարման պրոֆիլը թարմացվել է, հակառակ դեպքում վկայականը կվերադառնա

Եթե վկայականը վերագործարկումից հետո վերադարձել է, աշխատանքը ավարտված չէ. ինչ-որ բան տիրում է դրան և վերատեղադրում է այն։ Գտեք այդ տիրոջը նորից ջնջելուց առաջ, որովհետև երրորդ ջնջումը կվարվի ճիշտ ինչպես առաջին երկուսը։