Қосымша түбірлік сертификат қай тексерушілерге әсер етеді?

Сіз сол жерде болмауы керек түбірлік сертификатты табасыз, ал бірінші сұрақ — ол кімнің идентификациясын бұра алады. Шынайы жауап қай бағдарлама сол қоймаға жүгінетініне және VPN-іңіз өз қақпасын қалай тексеретініне байланысты. Браузер, пакет менеджері және бекітілген саусақ ізі бар VPN клиенті бірдей сенім шешімін бөлісуі міндетті емес. Ауқымды шешпес бұрын тексерушілерді картаға түсіріңіз.

Жүйелік қоймадағы түбір — әмбебап кілт емес

Түбір орнату осы кілтпен қол қойылған сертификаттарды әсер еткен қойманы пайдаланатын бағдарламалар үшін қабылданатын етеді. Бұл оларды автоматты түрде барлық жерде қабылданатын етпейді, өйткені кейбір қолданбалар өз бумасын әкеледі немесе бекітілген мәнді тексереді. Ол сондай-ақ біреудің машинада код іске қосқанын дәлелдемейді; сенім өзгерісі бірнеше мүмкіндіктің бірі. Сертификатты бүкіл оқиға ретінде емес, шекарасын анықтау қажет табылым ретінде қарастырыңыз.

Қойма сертификатпен бірдей маңызды: пайдаланушы деңгейіндегі бума мен жүйелік деңгейдегі якорь әртүрлі тұтынушыларға жетеді.

Әр тексерушіні және оның сенім көзін картаға түсіріңіз

Әсер еткен жұмыс ағындары үшін сертификаттарды тексеретін әрбір компонентті жазыңыз: браузер, пакет менеджері, пошта клиенті, VPN. Содан кейін олардың әрқайсысы оқитын сенім көзін табыңыз.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Каталог тізімі Debian үлгісіндегі жүйелерде жергілікті қосылған якорьдерді көрсетеді, ал сенім тізімі жүйелік қойма қазір нені ұсынып отырғанын көрсетеді. Өз қоймасы бар браузер онда көрінбейді, ал Java немесе Python қолданбасы тағы басқа буманы пайдалануы мүмкін. Қай жазбалар күтілетінін және қайсысы күтілмейтінін тек көрсетілген атаумен емес, саусақ ізімен жазыңыз. Бұл тізім — оқиғаға жауап берушіге бірдеңені жоймас бұрын қажет нәрсе.

VPN-нің өз серіктесін тексеруін тексеріңіз

VPN-де жеке CA немесе айқын саусақ ізі болса, ол қақпаны өз конфигурациясына сәйкес бағалайды. Клиент нені күтетінін қақпа ұсынатын нәрсемен салыстырыңыз.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Шығыс соңғы нүкте ұсынатын сертификаттың SHA-256 саусақ ізін және субъектісін береді, оларды конфигурацияланған мәнмен салыстыруға болады. OpenVPN-де серіктес саусақ ізі параметрі бар, ол жүйелік қоймадан қол қоюшыны қабылдауды талап етпестен туннель үшін осы салыстыруды орындайды. Бұл тәуелсіздік туннель үшін пайдалы және браузер туралы ештеңе айтпайды. Егер күтілетін саусақ ізі басынан бастап күдікті қосылымнан көшірілген болса, бұл да көмектеспейді.

Оқиғаның ауқымын сертификаттан әрі анықтаңыз

Рұқсат етілмеген якорьдерді жою және олармен әдетте бірге жүретін өзгерістерді іздеу үшін құрылғы иесінің процедурасын пайдаланыңыз: жаңа қызметтер, өзгертілген клиенттер, өзгертілген прокси параметрлері. Басқарылатын машинада басқа бағдарламалар тәуелді материалды жоймас бұрын заңды конфигурацияны растаңыз. Әр тексеруші үшін оның сенімі қайдан келетінін, қандай идентификацияны күтетінін және ағымдағы конфигурацияның дұрыстығын қалай растағаныңызды жазыңыз. Тазалаудан кейінгі жұмыс істеп тұрған туннель — бір бақылау, соңғы нүктенің таза екендігінің дәлелі емес.

Содан кейін қойманы пайдаланған жұмыс ағындарын қайта сынаңыз, өйткені якорьді жою оған заңды түрде сүйенген ішкі қызметті бұзуы мүмкін. Қалпына келтіру күтілетін сенім қатынастары жұмыс істегенде және күтілмейтіндері жұмыс істемегенде аяқталады.