TLS-villur aðeins á fyrirtækis-VPN: lagaðu rétta traustgeymsluna

Go-byggingin, Composer-uppsetningin og Python-viðskiptavinurinn virka allir heima og mistakast allir inni í VPN fyrirtækisins. Þetta mynstur segir þér frá ferlinum, ekki forritinu. Eitthvað á göngunum breytti skírteinakeðjunni sem ferlið þitt sér, eða endurstillti handsalið áður en keðja barst yfirhöfuð. Bæði mistökin líta svipað út í skjáhermi og krefjast gjörólíkra viðbragða.

Þrjú skilaboð, þrjár aðferðir

Villan x509 certificate signed by unknown authority þýðir að keðja var byggð og rót hennar vantar í traustgeymsluna sem það ferli notar. Villan self-signed certificate in certificate chain þýðir venjulega að skoðunarproxy svaraði með eigin skírteini, sem er keðja sem keyrsluumhverfið þitt þekkir ekki. SSL EOF meðan á handsalinu stendur þýðir að tengingunni var lokað áður en nokkurt nothæft skírteini var sent, og það er millitæki sem hafnar ClientHello, alls ekki traustsvandamál.

Að bæta við óöruggum fánanum lætur öll þrjú skilaboðin hverfa á meðan afhlustunin stendur kyrr, og það fjarlægir prófunina sem myndi grípa raunverulegan árásarmann.

Finndu pakkann sem ferlið les í raun

Fyrirtækisrótin sem er uppsett í Windows-geymslunni lagar vafra og .NET-forrit sem leita í kerfisgeymslunni. Hún gerir ekkert fyrir byggingu sem keyrir inni í gámi, sem ber sinn eigin CA-pakka, og ekkert fyrir Python-ferli sem notar certifi eða Node-ferli sem notar meðfylgjandi listann sinn. Go les kerfissafnið í því umhverfi sem tvíundarskráin keyrir í, það er gámnum, ekki fartölvunni. Þannig framleiðir ein vél samtímis virkan vafra og mistakandi byggingartól.

Spyrðu tólið í stað þess að gera ráð fyrir. python3 -c "import ssl; print(ssl.get_default_verify_paths())" prentar skrárnar sem Python mun leita í, og node -e "console.log(process.env.NODE_EXTRA_CA_CERTS)" sýnir hvort yfirskrift er þegar sett. Fyrir gám, keyrðu sömu prófun inni í myndinni, því það er umhverfið sem byggingin notar í raun.

Settu upp eina rót þar sem byggingin keyrir

Fáðu skoðunarrótina frá upplýsingatæknideild sem PEM-skrá og staðfestu fingrafar hennar um aðskilda rás áður en þú treystir henni. Á myndum byggðum á Debian, afritaðu hana í /usr/local/share/ca-certificates/ og keyrðu update-ca-certificates; myndir úr RHEL-fjölskyldunni nota update-ca-trust eftir að skránni er komið fyrir í /etc/pki/ca-trust/source/anchors/. Í gámabyggingu skaltu bæta þessum skrefum við fyrir skipunina sem mistekst svo lagið sé vistað í skyndiminni ofan við uppsetningu háðanna.

Fyrir staðbundið devcontainer, tengdu PEM-skrána og keyrðu sömu uppfærsluskotunina við ræsingu í stað þess að baka hana inn í persónulega mynd sem enginn annar getur endurskapað. Tól sem koma með sinn eigin pakka þurfa sína eigin skjalfestu yfirskrift: pip hefur skírteinisstillingu, npm hefur cafile-stillingu, og flest önnur taka við stöðluðum umhverfisbreytum.

Þetta er ekki það sama og að samþykkja hvaða skírteini sem er. Þú bætir einni tiltekinni rót, sem þú fékkst frá aðilanum sem framkvæmir skoðunina, við eitt umhverfi, og staðfesting helst virk fyrir hverja aðra keðju. Skráðu hvaða skrá var bætt við og hvenær hún rennur út, því skoðunarrót er endurnýjuð eins og hvert annað CA.

Þegar handsalið deyr fyrir skírteini

Ef ekkert er lagt fram mun engin breyting á traustgeymslunni hjálpa. Berðu saman sömu beiðni með göngunum uppi og niðri, og skoðaðu síðan keðjuna beint með openssl s_client -connect host:443 -servername host -showcerts. Tenging sem klárast utan VPN og er endurstillt inni í því er stefnuákvörðun millitækisins, og lækningin er undantekning fyrir þann hýsil, ekki annað skírteini. Biddu um að pakkaskránni eða API-endapunktinum sé hleypt í gegn óbreyttum.

Að kljúfa göngin svo tólið fari fram hjá VPN-inu kemur í veg fyrir skoðun á þeirri umferð, sem getur brotið stefnu og gerir tólið ekki áreiðanlegt.

Skráðu niðurstöðuna fyrir hvert tól

Stutt athugasemd sem telur upp tvíundarskrána, traustskrána sem hún les, umhverfisbreytuna sem er í gangi og samþykkta undantekningu sparar næsta manni alla greininguna. Haltu athugasemdinni fyrir hvert tól í stað hverrar fartölvu, því fartölvan er sjaldan það sem breyttist.

Og haltu tveimur setningum aðskildum í miðanum: við settum upp tiltekna fyrirtækisrót, og við slökktum á staðfestingunni. Aðeins önnur þeirra er stuðningsaðgerð.