Validator mana yang terpengaruh sertifikat akar tambahan?

Anda menemukan sertifikat akar yang seharusnya tidak ada di sana, dan pertanyaan pertama adalah identitas siapa yang bisa ditirunya. Jawaban jujurnya bergantung pada perangkat lunak mana yang menanyakan penyimpanan itu dan bagaimana VPN Anda memverifikasi gateway-nya. Peramban, pengelola paket, dan klien VPN dengan sidik jari tersemat belum tentu berbagi keputusan kepercayaan yang sama. Petakan validator sebelum menentukan cakupannya.

Akar di penyimpanan sistem bukan kunci universal

Memasang akar membuat sertifikat yang ditandatangani dengan kunci itu dapat diterima oleh program yang memakai penyimpanan terdampak. Itu tidak otomatis membuatnya dapat diterima di mana-mana, karena sebagian aplikasi membawa bundelnya sendiri atau memeriksa nilai tersemat. Itu juga tidak membuktikan seseorang menjalankan kode di mesin; perubahan kepercayaan hanyalah satu dari beberapa kemampuan. Perlakukan sertifikat sebagai temuan yang perlu dibatasi, bukan sebagai keseluruhan insiden.

Penyimpanan sama pentingnya dengan sertifikat: bundel tingkat pengguna dan jangkar tingkat sistem menjangkau konsumen berbeda.

Petakan setiap validator dan sumber kepercayaannya

Catat setiap komponen yang memvalidasi sertifikat untuk alur kerja terdampak: peramban, pengelola paket, klien surel, VPN. Lalu temukan sumber kepercayaan yang dibaca masing-masing.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Daftar direktori menunjukkan jangkar yang ditambahkan secara lokal pada sistem bergaya Debian, dan daftar kepercayaan menunjukkan apa yang saat ini diekspos penyimpanan sistem. Peramban dengan penyimpanannya sendiri tidak akan muncul di sana, dan aplikasi Java atau Python mungkin memakai bundel lain. Catat entri mana yang diharapkan dan mana yang tidak, dengan memakai sidik jari dan bukan hanya nama tampilan. Daftar itulah yang dibutuhkan penanggap insiden sebelum menghapus apa pun.

Periksa validasi rekan milik VPN sendiri

VPN dengan CA privat atau sidik jari eksplisit mengevaluasi gateway terhadap konfigurasinya sendiri. Bandingkan apa yang diharapkan klien dengan apa yang disajikan gateway.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Keluarannya memberikan sidik jari SHA-256 dan subjek sertifikat yang disajikan endpoint, yang bisa Anda bandingkan dengan nilai terkonfigurasi. OpenVPN memiliki opsi sidik jari rekan yang melakukan perbandingan itu untuk terowongan tanpa mengharuskan penyimpanan sistem menerima penandatangan. Kemandirian itu berguna bagi terowongan dan tidak mengatakan apa pun tentang peramban. Itu juga tidak membantu jika sidik jari yang diharapkan sejak awal disalin dari koneksi mencurigakan.

Batasi insiden di luar sertifikat

Gunakan prosedur pemilik perangkat untuk menghapus jangkar tak sah dan mencari perubahan yang biasanya menyertainya: layanan baru, klien yang dimodifikasi, setelan proksi yang diubah. Pada mesin terkelola, konfirmasikan konfigurasi yang sah sebelum menghapus materi yang menjadi landasan perangkat lunak lain. Untuk setiap validator, catat dari mana kepercayaannya berasal, identitas apa yang diharapkannya, dan bagaimana Anda memastikan konfigurasi saat ini benar. Terowongan yang berfungsi setelah pembersihan adalah satu pengamatan, bukan bukti bahwa endpoint bersih.

Lalu uji ulang alur kerja yang memakai penyimpanan itu, karena menghapus jangkar dapat merusak layanan internal yang secara sah mengandalkannya. Pemulihan selesai ketika hubungan kepercayaan yang diharapkan berfungsi dan yang tidak diharapkan tidak.