Ескірген VPN сертификатын сенім қоймасынан қалай жоюға болады

Сіздің VPN клиентіңіз жойылған, профиль Параметрлерден жоғалған, бірақ туннель әлі де ескі тіркелгі деректерімен көтеріледі. Немесе оны жоясыз, қайта жүктейсіз, ал келесі таңда қайта табасыз. Екеуі де бұзылған жою түймесі емес. Профиль — конфигурация; сертификат — кілт материалы және профиль тек сілтеме жасайтын қоймада жазылған сенім шешімі. Осы екеуінің қайсысы қолыңызда екені 'жою' нені білдіруі керектігін анықтайды.

Профиль сертификат емес

VPN орнатуында үш түрлі нысан 'сертификат' деп аталады. Клиенттің жеке басы — жеке кілті бар соңғы сертификат, және шлюз оны сіздің кім екеніңізді анықтау үшін пайдаланады. Сервердің өз соңғы сертификаты мен оның аралық сертификаты — клиентіңіз қосылған кезде тексеретін нәрсе. Сенім зәкірі, әдетте түбірлік немесе жеке CA сертификаты, тізбекті мүлдем тексерілетін етеді. RFC 5280 бұларды сенім зәкірі, аралық сертификат және соңғы субъект деп атайды, ал тізбек тек әр буын өзінен төменгісіне қол қойғанша жарамды.

Жеке басты жойыңыз — бір құрылғы қатынастан айырылады. Зәкірді жойыңыз, сонда сол қоймаға қарсы тексеретін әр қолданба оның астында берілген кез келген нәрсені тексеру қабілетінен айырылады, оның ішінде VPN-ге еш қатысы жоқ қосылымдар да бар. Бұл асимметрия — мұндағы барлық тәуекел: бір шлюз үшін орнатылған түбір көбінесе ішкі порталға, пошта серверіне немесе пакет айнасына қол қоятын сол түбір. Екеуінің қайсысы қолыңызда екенін есте сақтаңыз.

Меншік жою жойылған күйде қала ма, соны шешеді. Өзіңізге тиесілі ноутбукта сертификатты тек сіз қайтара аласыз. Басқарылатын құрылғыда конфигурация профилі немесе MDM жүктемесі оны келесі тексеруде қайта орнатуы мүмкін, сондықтан ол 'қайтады' және сондықтан қаттырақ жою көмектеспейді.

Қай қойма оны әлі ұстап тұрғанын табыңыз

Адамдар Параметрлер қолданбасынан бастайды, ал бұл сертификат сақталмайтын жалғыз орын. Нақты орындар — ОЖ-нің сенім қоймалары, браузердің жеке қоймасы және қолданбаның жеке қоймасы.

Сериялық нөмірі немесе саусақ ізі бойынша сәйкестендіріңіз, ешқашан көрсетілетін атаумен емес. Көрсетілетін атауларды сертификатты берген адам қояды және олар қайта пайдаланылады: 'Example VPN' үш түрлі кілті бар үш сертификат болуы мүмкін, біреуі әлі күнделікті қолданыста.

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

macOS-те security құралы сол фактілерді береді, және find-identity қай сертификаттарға әлі жеке кілт тіркелгенін көрсетеді:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

Тар нысанды жойыңыз, ортақ берушіні қалдырыңыз

Жоймас бұрын экспорттаңыз. Сақтық көшірмесіз жалғыз қалпына келтіру — қайта шығару, бұл жеке CA-да PKI-ды басқаратын адамға қайта оралуды білдіреді. Экспортталған PFX — жою қате шешім болып шықса, тапсыратын нәрсеңіз де.

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

Бұл -user жалаушасы — адамдар байқаусыз қалдыратын жалауша. Онсыз certutil машина қоймасында жұмыс істейді, бұл көтерілген shell, басқа сертификаттар жиыны және енді машинадағы барлық басқа тіркелгіні қамтитын әсер радиусын білдіреді.

macOS және Linux-те пішін бірдей: анықтаңыз, экспорттаңыз, содан кейін симптомды түсіндіретін ең тар қоймадан жойыңыз. /usr/local/share/ca-certificates астындағы файлды жою және update-ca-certificates -ды қайта іске қосу жеткілікті; --fresh тек /etc/ssl/certs -тегі символдық сілтемелер әлдеқашан сәйкессіз болғанда ғана көмектеседі. RHEL отбасы жүйелері зәкірлерді /etc/pki/ca-trust/source/anchors-де сақтайды, онда trust anchor --remove сол жұмысты атқарады.

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

CA сертификатын жоймас бұрын оған тағы не тізбектелетінін тексеріңіз. Бумадағы субъектілерді тізімдеу екі жолдық тексеру және сол зәкір басқа жұмыс істей ме, соған жауап береді:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

Файлды жою — жеке басты кері қайтару емес

Жергілікті жою бір көшірмені алып тастайды. Жеке кілт әлі де ескі билетке тіркелген p12-де, сақтық көшірме қалтасында немесе сол уақытта орнатылған екінші ноутбукта болуы мүмкін. Егер бұл клиенттің жеке басы болса, шлюз сол кілттің кез келген көшірмесін жеке бас сервер жағында қабылданбағанша қабылдай береді.

Бір OpenVPN PKI үшін бұл сертификатты кері қайтаруды және crl-verify сілтейтін CRL-дің өзекті екенін қамтамасыз етуді білдіреді; easyrsa revoke содан кейін easyrsa gen-crl қысқа нұсқасы. Жеке бас провайдеріне байланған шлюз үшін онда пайдаланушыны өшіріңіз немесе құрылғыны алып тастаңыз, өйткені сертификат ойындағы жалғыз тіркелгі дерегі. Тіркелгі белсенді күйде жергілікті көшірмені жою тазартуға ұқсайды, бірақ олай емес.

Оқиға жұмысының реті басқа: алдымен сертификатты, оның сериялық нөмірін және кері қайтару жазбасын сақтаңыз, содан кейін жойыңыз және кері қайтарыңыз. Бұл жазбалар ештеңе тұрмайды және жұмыс істейтін тіркелгі дерегін орнында қалдыруды талап етпейді.

Қол алысу және екінші қолданба арқылы тексеріңіз

Тізбекті сырттан тексеріңіз, жаңа ғана өңдеген қойма тізімінен емес. Қойма өзгертуіңізді көрсетеді; қол алысу нәтижені көрсетеді.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

0 қайтару коды қалған зәкірлердің шлюзді әлі де растайтынын білдіреді. Зәкірді жойғаннан кейінгі тізбек қатесі күтілетін нәтиже және ол сіз пайдаланыстағы зәкірге тигеніңізді, клиент ешқашан қарамайтын қоймадағы көшірмеге емес, растайды. Қосылым әлі жұмыс істесе, екінші көшірмені, қолданбаға кіріктірілген қойманы немесе бекітілген сертификатты іздеңіз, олардың барлығы өз сенім тізімін әкелетін клиенттерде жиі кездеседі.

Содан кейін қатысы жоқ нәрсені сынаңыз: ішкі сайт, пошта клиенті, пакет айнасы. Бұл өзгеріс терезесі жабылмай тұрып әсер радиусын арзан өлшейді.

• Рөл жеке бас, аралық сертификат немесе сенім зәкірі ретінде анықталды
• Сериялық нөмір мен саусақ ізі жазылды, ал көшірме мақұлданған орынға экспортталды
• Жою симптомды түсіндіретін ең тар ауқымда орындалды
• Адам немесе құрылғы кеткенде сервер жағындағы авторизация кері қайтарылды
• Қол алысу түсіндірілді және бір қатысы жоқ қолданба қайта сыналды
• MDM жүктемесі немесе басқару профилі жаңартылды, әйтпесе сертификат қайтады

Егер сертификат қайта жүктеуден кейін қайта оралса, жұмыс бітпеген: бірдеңе оған ие және оны қайта орнатады. Қайта жоймас бұрын сол иесін табыңыз, өйткені үшінші жою алғашқы екеуі сияқты әрекет етеді.