Hvaða sannprófendur hefur viðbótar rótarskírteini áhrif á?

Þú finnur rótarskírteini sem ætti ekki að vera þar, og fyrsta spurningin er hvers auðkenni það getur þóst vera. Heiðarlegt svar fer eftir því hvaða hugbúnaður leitar í þeirri geymslu og hvernig VPN-ið þitt sannprófar gáttina sína. Vafri, pakkastjóri og VPN-biðlari með fest fingrafar deila ekki endilega sömu traustsákvörðun. Kortleggið sannprófendurna áður en ákveðið er umfangið.

Rót í kerfisgeymslu er ekki algildur lykill

Að setja upp rót gerir skírteini undirrituð með þeim lykli ásættanleg fyrir forrit sem nota viðkomandi geymslu. Það gerir þau ekki sjálfkrafa ásættanleg alls staðar, því sum forrit koma með eigin búnt eða athuga fest gildi. Það sannar ekki heldur að einhver hafi keyrt kóða á vélinni; traustsbreyting er ein geta af fleirum. Lítið á skírteinið sem fund sem þarf að afmarka, ekki sem alla atburðarásina.

Geymslan skiptir jafn miklu máli og skírteinið: búnt á notendastigi og akkeri á kerfisstigi ná til mismunandi neytenda.

Kortleggið hvern sannprófanda og traustsuppsprettu hans

Skrifið niður hvern þátt sem sannprófar skírteini fyrir viðkomandi vinnuflæði: vafri, pakkastjóri, póstbiðlari, VPN. Finndu síðan traustsuppsprettuna sem hver þeirra les.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Skráarlistinn sýnir akkeri sem bætt var við á staðnum í kerfum í Debian-stíl, og traustslistinn sýnir hvað kerfisgeymsla birtir núna. Vafri með eigin geymslu mun ekki birtast þar, og Java- eða Python-forrit gæti notað aðra búnt. Skráið hvaða færslur eru væntanlegar og hverjar ekki, með fingrafarinu frekar en aðeins birtu nafni. Þessi listi er það sem viðbragðsaðili atviks þarf áður en hann eyðir einhverju.

Athugið eigin jafningjasannprófun VPN-sins

VPN með einkaaðila-CA eða skýrt fingrafar metur gáttina samkvæmt eigin stillingum. Berið saman það sem biðlarinn væntir og það sem gáttin sýnir.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Úttakið gefur SHA-256 fingrafarið og viðfang skírteinisins sem endapunkturinn sýnir, og þið getið borið þau saman við stillta gildið. OpenVPN hefur valkost fyrir jafningjafingrafar sem framkvæmir þann samanburð fyrir göngin án þess að kerfisgeymsla þurfi að samþykkja undirritarann. Þetta sjálfstæði er gagnlegt fyrir göngin og segir ekkert um vafrann. Það hjálpar ekki heldur ef væntanlega fingrafarið var afritað af grunsamlegu tengingunni frá upphafi.

Afmarkið atvikið út fyrir skírteinið

Notið ferli eiganda tækisins til að fjarlægja óheimil akkeri og leita að þeim breytingum sem fylgja þeim venjulega: ný þjónustur, breyttir biðlarar, breyttar proxy-stillingar. Á stýrðri vél skal staðfesta lögmætu stillinguna áður en efni er eytt sem annar hugbúnaður er háður. Fyrir hvern sannprófanda skal skrá hvaðan traust hans kemur, hvaða auðkenni hann væntir og hvernig þið staðfestuð að núverandi stilling sé rétt. Virk göng eftir hreinsun eru ein athugun, ekki sönnun þess að endapunkturinn sé hreinn.

Prófið síðan aftur vinnuflæðin sem notuðu geymsluna, því að fjarlægja akkeri getur brotið innri þjónustu sem treysti á það með lögmætum hætti. Endurheimtun lýkur þegar væntanleg traustssambönd virka og þau óvæntu ekki.