TLS ದೋಷಗಳು ಕಾರ್ಪೊರೇಟ್ VPN ನಲ್ಲಿ ಮಾತ್ರ: ಸರಿಯಾದ ಟ್ರಸ್ಟ್ ಸ್ಟೋರ್ ಸರಿಪಡಿಸಿ

Go ಬಿಲ್ಡ್, Composer ಸ್ಥಾಪನೆ ಮತ್ತು Python ಕ್ಲೈಂಟ್ ಎಲ್ಲವೂ ಮನೆಯಲ್ಲಿ ಕೆಲಸ ಮಾಡುತ್ತವೆ ಮತ್ತು ಎಲ್ಲವೂ ಕಂಪನಿಯ VPN ಒಳಗೆ ವಿಫಲವಾಗುತ್ತವೆ. ಆ ಮಾದರಿ ನಿಮಗೆ ಅನ್ವಯದ ಬಗ್ಗೆ ಅಲ್ಲ, ಮಾರ್ಗದ ಬಗ್ಗೆ ಹೇಳುತ್ತದೆ. ಸುರಂಗದ ಮೇಲೆ ಏನೋ ನಿಮ್ಮ ಪ್ರಕ್ರಿಯೆ ನೋಡುವ ಪ್ರಮಾಣಪತ್ರ ಸರಪಳಿಯನ್ನು ಬದಲಿಸಿತು, ಅಥವಾ ಸರಪಳಿಯೇ ಬರುವ ಮೊದಲು ಹ್ಯಾಂಡ್ಶೇಕ್ ಮರುಹೊಂದಿಸಿತು. ಎರಡೂ ದೋಷಗಳು ಟರ್ಮಿನಲ್ನಲ್ಲಿ ಒಂದೇ ರೀತಿ ಕಾಣುತ್ತವೆ ಮತ್ತು ಸಂಪೂರ್ಣವಾಗಿ ಬೇರೆ ಪ್ರತಿಕ್ರಿಯೆಗಳನ್ನು ಬೇಡುತ್ತವೆ.

ಮೂರು ಸಂದೇಶಗಳು, ಮೂರು ಕಾರ್ಯವಿಧಾನಗಳು

x509 certificate signed by unknown authority ದೋಷ ಎಂದರೆ ಸರಪಳಿ ನಿರ್ಮಾಣವಾಯಿತು ಮತ್ತು ಅದರ ಮೂಲ ಆ ಪ್ರಕ್ರಿಯೆ ಬಳಸುವ ಟ್ರಸ್ಟ್ ಸ್ಟೋರ್ನಲ್ಲಿ ಇಲ್ಲ. self-signed certificate in certificate chain ದೋಷ ಸಾಮಾನ್ಯವಾಗಿ ಪರಿಶೀಲನಾ ಪ್ರಾಕ್ಸಿ ತನ್ನದೇ ಪ್ರಮಾಣಪತ್ರದಿಂದ ಉತ್ತರಿಸಿತು ಎಂದರ್ಥ, ಅದು ನಿಮ್ಮ ರನ್ಟೈಮ್ ಗುರುತಿಸದ ಸರಪಳಿ. ಹ್ಯಾಂಡ್ಶೇಕ್ ಸಮಯದಲ್ಲಿ SSL EOF ಎಂದರೆ ಯಾವುದೇ ಉಪಯುಕ್ತ ಪ್ರಮಾಣಪತ್ರ ಕಳುಹಿಸುವ ಮೊದಲೇ ಸಂಪರ್ಕ ಮುಚ್ಚಿಹೋಯಿತು, ಮತ್ತು ಅದು ClientHello ತಿರಸ್ಕರಿಸುವ ಮಧ್ಯವರ್ತಿ ಸಾಧನ, ಟ್ರಸ್ಟ್ ಸಮಸ್ಯೆಯೇ ಅಲ್ಲ.

ಅಸುರಕ್ಷಿತ ಧ್ವಜ ಸೇರಿಸಿದರೆ ಮೂರೂ ಸಂದೇಶಗಳು ಮಾಯವಾಗುತ್ತವೆ ಆದರೆ ಮಧ್ಯಪ್ರವೇಶ ಇದ್ದಲ್ಲೇ ಇರುತ್ತದೆ, ಮತ್ತು ನಿಜವಾದ ಆಕ್ರಮಣಕಾರನನ್ನು ಹಿಡಿಯುತ್ತಿದ್ದ ಪರಿಶೀಲನೆಯನ್ನೂ ತೆಗೆದುಹಾಕುತ್ತದೆ.

ಪ್ರಕ್ರಿಯೆ ನಿಜವಾಗಿ ಓದುವ ಬಂಡಲ್ ಹುಡುಕಿ

Windows ಸ್ಟೋರ್ನಲ್ಲಿ ಸ್ಥಾಪಿಸಿದ ಕಾರ್ಪೊರೇಟ್ ಮೂಲವು ಸಿಸ್ಟಮ್ ಸ್ಟೋರ್ ಕೇಳುವ ಬ್ರೌಸರ್ಗಳು ಮತ್ತು .NET ಅನ್ವಯಗಳನ್ನು ಸರಿಪಡಿಸುತ್ತದೆ. ಕಂಟೇನರ್ ಒಳಗೆ ಚಲಿಸುವ ಬಿಲ್ಡ್ಗೆ ಅದು ಏನೂ ಮಾಡುವುದಿಲ್ಲ, ಏಕೆಂದರೆ ಅದರ ಸ್ವಂತ CA ಬಂಡಲ್ ಇರುತ್ತದೆ, ಮತ್ತು certifi ಬಳಸುವ Python ಪ್ರಕ್ರಿಯೆಗೆ ಅಥವಾ ತನ್ನ ಒಳಗೊಳ್ಳುವ ಪಟ್ಟಿ ಬಳಸುವ Node ಪ್ರಕ್ರಿಯೆಗೂ ಏನೂ ಮಾಡುವುದಿಲ್ಲ. Go ಬೈನರಿ ಚಲಿಸುವ ಪರಿಸರದ ಸಿಸ್ಟಮ್ ಪೂಲ್ ಓದುತ್ತದೆ, ಅಂದರೆ ಕಂಟೇನರ್, ಲ್ಯಾಪ್ಟಾಪ್ ಅಲ್ಲ. ಹಾಗಾಗಿ ಒಂದೇ ಯಂತ್ರ ಒಟ್ಟಿಗೆ ಕೆಲಸ ಮಾಡುವ ಬ್ರೌಸರ್ ಮತ್ತು ವಿಫಲವಾಗುವ ಬಿಲ್ಡ್ ಸಾಧನವನ್ನು ನೀಡುತ್ತದೆ.

ಊಹಿಸುವ ಬದಲು ಸಾಧನವನ್ನೇ ಕೇಳಿ. python3 -c "import ssl; print(ssl.get_default_verify_paths())" Python ಸಂಪರ್ಕಿಸುವ ಫೈಲ್ಗಳನ್ನು ಮುದ್ರಿಸುತ್ತದೆ, ಮತ್ತು node -e "console.log(process.env.NODE_EXTRA_CA_CERTS)" ಈಗಾಗಲೇ ಓವರ್ರೈಡ್ ಸೆಟ್ ಆಗಿದೆಯೇ ಎಂದು ತೋರಿಸುತ್ತದೆ. ಕಂಟೇನರ್ಗೆ, ಅದೇ ಪರಿಶೀಲನೆಯನ್ನು ಇಮೇಜ್ ಒಳಗೆ ಚಲಾಯಿಸಿ, ಏಕೆಂದರೆ ಬಿಲ್ಡ್ ನಿಜವಾಗಿ ಬಳಸುವ ಪರಿಸರ ಅದೇ.

ಬಿಲ್ಡ್ ಚಲಿಸುವಲ್ಲಿಯೇ ಒಂದು ಮೂಲ ಸ್ಥಾಪಿಸಿ

ಪರಿಶೀಲನಾ ಮೂಲವನ್ನು IT ಯಿಂದ PEM ಫೈಲ್ ಆಗಿ ಪಡೆಯಿರಿ ಮತ್ತು ನಂಬುವ ಮೊದಲು ಅದರ ಬೆರಳಚ್ಚನ್ನು ಪ್ರತ್ಯೇಕ ಚಾನಲ್ನಲ್ಲಿ ಪರಿಶೀಲಿಸಿ. Debian ಆಧಾರಿತ ಇಮೇಜ್ಗಳಲ್ಲಿ ಅದನ್ನು /usr/local/share/ca-certificates/ ಗೆ ನಕಲಿಸಿ update-ca-certificates ಚಲಾಯಿಸಿ; RHEL ಕುಟುಂಬದ ಇಮೇಜ್ಗಳು ಫೈಲ್ ಅನ್ನು /etc/pki/ca-trust/source/anchors/ ಗೆ ಹಾಕಿದ ನಂತರ update-ca-trust ಬಳಸುತ್ತವೆ. ಕಂಟೇನರ್ ಬಿಲ್ಡ್ನಲ್ಲಿ ವಿಫಲವಾಗುವ ಆದೇಶಕ್ಕೆ ಮೊದಲು ಆ ಹಂತಗಳನ್ನು ಸೇರಿಸಿ, ಇದರಿಂದ ಪದರವು ಅವಲಂಬನೆ ಸ್ಥಾಪನೆಗಿಂತ ಮೇಲೆ ಕ್ಯಾಶ್ ಆಗುತ್ತದೆ.

ಸ್ಥಳೀಯ devcontainer ಗೆ, PEM ಮೌಂಟ್ ಮಾಡಿ ಮತ್ತು ಪ್ರಾರಂಭದಲ್ಲಿ ಅದೇ ನವೀಕರಣ ಆದೇಶ ಚಲಾಯಿಸಿ, ಬೇರೆ ಯಾರೂ ಪುನರುತ್ಪಾದಿಸಲಾಗದ ವೈಯಕ್ತಿಕ ಇಮೇಜ್ನಲ್ಲಿ ಅದನ್ನು ಬೇಯಿಸುವ ಬದಲು. ತಮ್ಮದೇ ಬಂಡಲ್ ತರುವ ಸಾಧನಗಳಿಗೆ ತಮ್ಮದೇ ದಾಖಲಿತ ಓವರ್ರೈಡ್ ಬೇಕು: pip ಗೆ ಪ್ರಮಾಣಪತ್ರ ಸೆಟ್ಟಿಂಗ್ ಇದೆ, npm ಗೆ cafile ಸೆಟ್ಟಿಂಗ್ ಇದೆ, ಮತ್ತು ಉಳಿದವುಗಳಲ್ಲಿ ಹೆಚ್ಚಿನವು ಪ್ರಮಾಣಿತ ಪರಿಸರ ಚರಗಳನ್ನು ಸ್ವೀಕರಿಸುತ್ತವೆ.

ಇದು ಯಾವುದೇ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಸ್ವೀಕರಿಸುವುದಕ್ಕೆ ಸಮನಲ್ಲ. ನೀವು ಪರಿಶೀಲನೆ ಮಾಡುವ ಪಕ್ಷದಿಂದ ಪಡೆದ ಒಂದು ನಿರ್ದಿಷ್ಟ ಮೂಲವನ್ನು ಒಂದು ಪರಿಸರಕ್ಕೆ ಸೇರಿಸುತ್ತೀರಿ, ಮತ್ತು ಉಳಿದ ಪ್ರತಿ ಸರಪಳಿಗೂ ಪರಿಶೀಲನೆ ಆನ್ ಆಗಿಯೇ ಇರುತ್ತದೆ. ಯಾವ ಫೈಲ್ ಸೇರಿಸಲಾಯಿತು ಮತ್ತು ಯಾವಾಗ ಮುಗಿಯುತ್ತದೆ ಎಂದು ದಾಖಲಿಸಿ, ಏಕೆಂದರೆ ಪರಿಶೀಲನಾ ಮೂಲವೂ ಬೇರೆ ಯಾವುದೇ CA ಯಂತೆ ನವೀಕರಣಗೊಳ್ಳುತ್ತದೆ.

ಪ್ರಮಾಣಪತ್ರಕ್ಕೆ ಮೊದಲೇ ಹ್ಯಾಂಡ್ಶೇಕ್ ಸಾಯುವಾಗ

ಏನೂ ಪ್ರಸ್ತುತಪಡಿಸದಿದ್ದರೆ, ಟ್ರಸ್ಟ್ ಸ್ಟೋರ್ನ ಯಾವುದೇ ಬದಲಾವಣೆ ಸಹಾಯ ಮಾಡುವುದಿಲ್ಲ. ಅದೇ ವಿನಂತಿಯನ್ನು ಸುರಂಗ ಆನ್ ಮತ್ತು ಆಫ್ ಇರುವಾಗ ಹೋಲಿಸಿ, ನಂತರ openssl s_client -connect host:443 -servername host -showcerts ನಿಂದ ಸರಪಳಿಯನ್ನು ನೇರವಾಗಿ ಪರಿಶೀಲಿಸಿ. VPN ಹೊರಗೆ ಪೂರ್ಣಗೊಂಡು ಒಳಗೆ ಮರುಹೊಂದಾಗುವ ಸಂಪರ್ಕ ಮಧ್ಯವರ್ತಿ ಸಾಧನದ ನೀತಿ ನಿರ್ಣಯ, ಮತ್ತು ಪರಿಹಾರ ಆ ಹೋಸ್ಟ್ಗೆ ವಿನಾಯಿತಿ, ಇನ್ನೊಂದು ಪ್ರಮಾಣಪತ್ರವಲ್ಲ. ಪ್ಯಾಕೇಜ್ ರಿಜಿಸ್ಟ್ರಿ ಅಥವಾ API ಎಂಡ್ಪಾಯಿಂಟ್ ಬದಲಾವಣೆ ಇಲ್ಲದೆ ಹೋಗಲು ಕೋರಿ.

ಸಾಧನ VPN ತಪ್ಪಿಸಿಕೊಳ್ಳುವಂತೆ ಸುರಂಗವನ್ನು ಒಡೆಯುವುದು ಆ ಸಂಚಾರದ ಪರಿಶೀಲನೆಯನ್ನು ತಪ್ಪಿಸುತ್ತದೆ, ಅದು ನೀತಿ ಉಲ್ಲಂಘಿಸಬಹುದು ಮತ್ತು ಸಾಧನವನ್ನು ವಿಶ್ವಾಸಾರ್ಹ ಮಾಡುವುದಿಲ್ಲ.

ಪ್ರತಿ ಸಾಧನಕ್ಕೂ ಫಲಿತಾಂಶ ಬರೆಯಿರಿ

ಬೈನರಿ, ಅದು ಓದುವ ಟ್ರಸ್ಟ್ ಫೈಲ್, ಆಟದಲ್ಲಿರುವ ಪರಿಸರ ಚರ ಮತ್ತು ಅನುಮೋದಿತ ವಿನಾಯಿತಿಯನ್ನು ಪಟ್ಟಿ ಮಾಡುವ ಸಣ್ಣ ಟಿಪ್ಪಣಿ ಮುಂದಿನ ವ್ಯಕ್ತಿಗೆ ಇಡೀ ರೋಗನಿರ್ಣಯವನ್ನು ಉಳಿಸುತ್ತದೆ. ಟಿಪ್ಪಣಿಯನ್ನು ಲ್ಯಾಪ್ಟಾಪ್ ಪ್ರಕಾರವಲ್ಲ, ಸಾಧನ ಪ್ರಕಾರ ಇರಿಸಿ, ಏಕೆಂದರೆ ಬದಲಾದ ವಸ್ತು ಲ್ಯಾಪ್ಟಾಪ್ ಆಗಿರುವುದು ಅಪರೂಪ.

ಮತ್ತು ಟಿಕೆಟ್ನಲ್ಲಿ ಎರಡು ವಾಕ್ಯಗಳನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಇರಿಸಿ: ನಾವು ನಿರ್ದಿಷ್ಟ ಕಾರ್ಪೊರೇಟ್ ಮೂಲವನ್ನು ಸ್ಥಾಪಿಸಿದೆವು, ಮತ್ತು ನಾವು ಪರಿಶೀಲನೆಯನ್ನು ಆಫ್ ಮಾಡಿದೆವು. ಅವುಗಳಲ್ಲಿ ಒಂದೇ ಬೆಂಬಲ ಕ್ರಿಯೆ.