რომელ შემმოწმებლებზე მოქმედებს დამატებითი ძირეული სერტიფიკატი?

თქვენ იპოვით ძირეულ სერტიფიკატს, რომელიც იქ არ უნდა იყოს, და პირველი კითხვაა, ვისი იდენტობის გაყალბება შეუძლია მას. პატიოსანი პასუხი დამოკიდებულია იმაზე, რომელი პროგრამა მიმართავს ამ საცავს და როგორ ამოწმებს თქვენი VPN თავის კარიბჭეს. ბრაუზერი, პაკეტების მენეჯერი და ჩამაგრებული თითის ანაბეჭდის მქონე VPN კლიენტი სულაც არ იზიარებენ ნდობის იმავე გადაწყვეტილებას. დაასახელეთ შემმოწმებლები, სანამ მასშტაბს გადაწყვეტთ.

სისტემურ საცავში ძირი უნივერსალური გასაღები არ არის

ძირის დაყენება ამ გასაღებით ხელმოწერილ სერტიფიკატებს მისაღებს ხდის იმ პროგრამებისთვის, რომლებიც დაზარალებულ საცავს იყენებენ. ეს მათ ავტომატურად ყველგან მისაღებს არ ხდის, რადგან ზოგიერთი აპლიკაცია საკუთარ პაკეტს მოაქვს ან ჩამაგრებულ მნიშვნელობას ამოწმებს. ის ასევე არ ამტკიცებს, რომ ვინმემ მანქანაზე კოდი გაუშვა; ნდობის ცვლილება ერთი შესაძლებლობაა რამდენიმეს შორის. მოეპყარით სერტიფიკატს როგორც შესაზღუდავ აღმოჩენას, და არა როგორც მთელ ინციდენტს.

საცავი ისეთივე მნიშვნელოვანია, როგორც სერტიფიკატი: მომხმარებლის დონის პაკეტი და სისტემური დონის ღუზა სხვადასხვა მომხმარებლამდე აღწევს.

დაასახელეთ თითოეული შემმოწმებელი და მისი ნდობის წყარო

ჩაწერეთ ყველა კომპონენტი, რომელიც სერტიფიკატებს ამოწმებს დაზარალებული სამუშაო პროცესებისთვის: ბრაუზერი, პაკეტების მენეჯერი, ფოსტის კლიენტი, VPN. შემდეგ იპოვეთ ნდობის წყარო, რომელსაც თითოეული მათგანი კითხულობს.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

კატალოგის სია აჩვენებს ლოკალურად დამატებულ ღუზებს Debian-ის ტიპის სისტემებში, ხოლო ნდობის სია აჩვენებს, რას ავლენს სისტემური საცავი ახლა. საკუთარი საცავის მქონე ბრაუზერი იქ არ გამოჩნდება, და Java ან Python აპლიკაციამ შეიძლება კიდევ სხვა პაკეტი გამოიყენოს. ჩაწერეთ, რომელი ჩანაწერებია მოსალოდნელი და რომელი არა, თითის ანაბეჭდის გამოყენებით და არა მხოლოდ ნაჩვენები სახელის. ეს სიაა ის, რაც ინციდენტზე რეაგირების სპეციალისტს სჭირდება სანამ რამეს წაშლის.

შეამოწმეთ VPN-ის საკუთარი პარტნიორის ვალიდაცია

VPN, რომელსაც აქვს კერძო CA ან აშკარა თითის ანაბეჭდი, აფასებს კარიბჭეს საკუთარი კონფიგურაციის მიხედვით. შეადარეთ, რას ელის კლიენტი და რას წარმოადგენს კარიბჭე.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

გამოსავალი გაძლევთ SHA-256 თითის ანაბეჭდს და იმ სერტიფიკატის სუბიექტს, რომელსაც საბოლოო წერტილი წარმოადგენს, და შეგიძლიათ შეადაროთ ისინი კონფიგურირებულ მნიშვნელობას. OpenVPN-ს აქვს პარტნიორის თითის ანაბეჭდის პარამეტრი, რომელიც ამ შედარებას გვირაბისთვის ასრულებს იმის გარეშე, რომ სისტემურ საცავს ხელმომწერი უნდა მიიღოს. ეს დამოუკიდებლობა გვირაბისთვის სასარგებლოა და ბრაუზერზე არაფერს ამბობს. ის არც დაეხმარება, თუ მოსალოდნელი თითის ანაბეჭდი თავიდანვე საეჭვო კავშირიდან იქნა კოპირებული.

განსაზღვრეთ ინციდენტის მასშტაბი სერტიფიკატის მიღმა

გამოიყენეთ მოწყობილობის მფლობელის პროცედურა არასანქცირებული ღუზების მოსაშორებლად და იმ ცვლილებების მოსაძებნად, რომლებიც ჩვეულებრივ მათ თან ახლავს: ახალი სერვისები, შეცვლილი კლიენტები, შეცვლილი პროქსის პარამეტრები. მართულ მანქანაზე დაადასტურეთ ლეგიტიმური კონფიგურაცია სანამ წაშლით მასალას, რომელზეც სხვა პროგრამაა დამოკიდებული. თითოეული შემმოწმებლისთვის ჩაწერეთ, საიდან მოდის მისი ნდობა, რომელ იდენტობას ელის და როგორ დაადასტურეთ, რომ მიმდინარე კონფიგურაცია სწორია. გაწმენდის შემდეგ მომუშავე გვირაბი ერთი დაკვირვებაა და არა მტკიცებულება, რომ საბოლოო წერტილი სუფთაა.

შემდეგ ხელახლა გამოსცადეთ ის სამუშაო პროცესები, რომლებიც საცავს იყენებდნენ, რადგან ღუზის მოცილებამ შეიძლება დააზიანოს შიდა სერვისი, რომელიც კანონიერად ეყრდნობოდა მას. აღდგენა დასრულებულია, როცა მოსალოდნელი ნდობის ურთიერთობები მუშაობს, ხოლო არამოსალოდნელი არა.