Hvernig fjarlægja á úrelt VPN-vottorð úr traustgeymslu

VPN-biðlarinn þinn er fjarlægður, sniðið er horfið úr Stillingum, og göngin koma samt upp með gömlu auðkennunum. Eða þú eyðir því, endurræsir og finnur það aftur næsta morgun. Hvorugt er bilaður eyðihnappur. Snið er uppsetning; vottorð er efniviður lykils auk traustsákvörðunar sem skráð er í geymslu sem sniðið bendir aðeins á. Hvort tveggja þú heldur ræður því hvað 'fjarlægja' á að þýða.

Snið er ekki vottorð

Þrír ólíkir hlutir kallast 'vottorðið' í VPN-uppsetningu. Auðkenni biðlarans er lokavottorð með einkalykli og gáttin notar það til að ákveða hver þú ert. Eigið lokavottorð þjónsins og millivottorð þess eru það sem biðlarinn þinn athugar þegar hann tengist. Traustakkerið, venjulega rótar- eða einkarekið CA-vottorð, er það sem gerir keðjuna yfirhöfuð sannanlega. RFC 5280 nefnir þetta traustakkeri, millivottorð og loka-einingu, og keðjan er aðeins gild svo lengi sem hver hlekkur undirritar þann sem fyrir neðan er.

Eyðið auðkenninu og eitt tæki tapar aðgangi. Eyðið akkerinu og hvert forrit sem sannreynir gagnvart þeirri geymslu tapar getunni til að athuga hvað sem er útgefið undir því, þar á meðal tengingar sem hafa ekkert með VPN að gera. Þessi ósamhverfa er öll áhættan hér: rót sem sett er upp fyrir eina gátt er oft sama rótin og undirritar innra gátt, póstþjón eða pakkaspegil. Mundu hvort tveggja þú heldur.

Eignarhald ræður því hvort eyðingin verður áfram eyðing. Á fartölvu sem þú átt ert þú sá eini sem getur sett vottorðið aftur. Á stýrðu tæki getur uppsetningarsnið eða MDM-álag sett það upp aftur við næstu innskráningu, þess vegna 'kemur það aftur' og þess vegna hjálpar harðari eyðing ekki.

Finndu hvaða geymsla heldur því enn

Fólk byrjar í Stillingar-forritinu, sem er eini staðurinn þar sem vottorð er ekki geymt. Raunverulegu staðirnir eru traustgeymslur stýrikerfisins, eigin geymsla vafrans og einkageymsla forritsins.

Stemmið á raðnúmerið eða fingrafarið, aldrei á skjáheitið. Skjáheiti eru sett af þeim sem gaf vottorðið út og eru endurnýtt: 'Example VPN' geta verið þrjú vottorð með þremur mismunandi lyklum, eitt enn í daglegri notkun.

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

Á macOS gefur security-tólið sömu staðreyndir, og find-identity sýnir hvaða vottorð hafa enn einkalykil fylgjandi:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

Eyðið þrönga hlutnum, haldið sameiginlega útgefandanum

Flytjið út áður en þið eyðið. Án öryggisafrits er eina endurheimtin endurútgáfa, sem á einkareknu CA þýðir að fara aftur til þess sem rekur PKI-ið. Útflutta PFX-ið er líka það sem þú afhendir ef fjarlægingin reynist röng ákvörðun.

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

Fáninn -user er sá sem fólk sleppir óvart. Án hans vinnur certutil á vélargeymslunni í staðinn, sem þýðir hækkað skel, annað sett af vottorðum og áhrifasvæði sem nú nær til hvers annars reiknings á vélinni.

Á macOS og Linux er formið það sama: auðkenndu, flyttu út, fjarlægðu síðan úr þröngustu geymslunni sem skýrir einkennin. Að fjarlægja skrána undir /usr/local/share/ca-certificates og keyra update-ca-certificates aftur er nóg; --fresh hjálpar aðeins þegar táknlegu hlekkirnir í /etc/ssl/certs eru þegar ósamkvæmir. Kerfi RHEL-fjölskyldunnar halda akkerum í /etc/pki/ca-trust/source/anchors, þar sem trust anchor --remove vinnur sama verk.

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

Áður en þú eyðir CA-vottorði skaltu athuga hvað annað keðjast við það. Að telja upp viðföngin í vöndlinum er tveggja lína athugun og svarar því hvort akkerið vinni annað verk:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

Að eyða skránni er ekki að afturkalla auðkennið

Staðbundin eyðing fjarlægir eitt eintak. Einkalykillinn getur enn verið í p12 sem fylgir gömlu miða, öryggisafritamöppu eða seinni fartölvunni sem sett var upp á sama tíma. Ef þetta var auðkenni biðlara heldur gáttin áfram að samþykkja hvert eintak af þeim lykli þar til auðkenninu er hafnað á þjónshlið.

Fyrir OpenVPN PKI þýðir það að afturkalla vottorðið og ganga úr skugga um að CRL-ið sem crl-verify vísar í sé í gildi; easyrsa revoke síðan easyrsa gen-crl er stutta útgáfan. Fyrir gátt sem er bundin auðkennisveitanda skaltu gera notandann óvirkan eða fjarlægja tækið þar, því vottorðið er aðeins eitt af auðkennunum í spilinu. Að eyða staðbundna eintakinu á meðan reikningurinn er áfram virkur lítur út eins og hreinsun og er það ekki.

Atvikavinna hefur aðra röð: varðveittu fyrst vottorðið, raðnúmer þess og afturköllunarskráninguna, eyðið og afturkallið síðan. Þessar skráningar kosta ekkert og krefjast þess ekki að virkt auðkenni sé látið vera.

Staðfestið með handabandi og öðru forriti

Athugið keðjuna að utan, ekki úr geymslulistanum sem þið voruð að breyta. Geymslan sýnir breytinguna; handabandið sýnir niðurstöðuna.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

Póstkóði 0 þýðir að eftirstandandi akkeri sannreyna gáttina enn. Keðjuvilla eftir að akkerið er fjarlægt er væntanleg niðurstaða og staðfestir að þú hafir hitt akkerið sem er í notkun en ekki tvírit í geymslu sem biðlarinn les aldrei. Ef tengingin virkar enn skaltu leita að öðru eintaki, geymslu sem er innbyggð í forritið eða festu vottorði, allt algengt hjá biðlurum sem koma með sinn eigin traustalista.

Prófið síðan eitthvað ótengt: innra vefsvæði, póstbiðlara, pakkaspegil. Það mælir áhrifasvæðið ódýrt áður en breytingaglugginn lokast.

• Hlutverkið auðkennt sem auðkenni, millivottorð eða traustakkeri
• Raðnúmer og fingrafar skráð, og eintakið flutt út á samþykktan stað
• Eyðing framkvæmd í þrengsta umfangi sem skýrir einkennið
• Heimild á þjónshlið afturkölluð þegar manneskja eða tæki fór
• Handabandi skýrt, og eitt ótengt forrit prófað aftur
• MDM-álag eða stjórnsnið uppfært, annars kemur vottorðið aftur

Ef vottorðið er komið aftur eftir endurræsingu er verkinu ekki lokið: eitthvað á það og setur það upp aftur. Finndu þann eiganda áður en þú eyðir aftur, því þriðja eyðingin mun hegða sér nákvæmlega eins og fyrstu tvær.