Кошумча тамыр сертификаты кайсы текшерүүчүлөргө таасир этет?

Сиз ал жерде болбошу керек тамыр сертификатын табасыз, ал эми биринчи суроо — ал кимдин инсандыгын жасалмалай алат. Чыныгы жооп кайсы программа ал кампага кайрылаарына жана VPNиңиз өз дарбазасын кантип текшерерине байланыштуу. Браузер, пакет менеджери жана бекитилген манжа изи бар VPN кардары бирдей ишеним чечимин бөлүшүүгө милдеттүү эмес. Аймакты аныктаардан мурун текшерүүчүлөрдү картага түшүрүңүз.

Системалык кампадагы тамыр — универсалдуу ачкыч эмес

Тамыр орнотуу ошол ачкыч менен кол коюлган сертификаттарды таасир эткен кампаны колдонгон программалар үчүн кабыл алынуучу кылат. Бул аларды автоматтык түрдө бардык жерде кабыл алынуучу кылбайт, анткени айрым тиркемелер өз топтомун ала келет же бекитилген маанини текшерет. Ал ошондой эле бирөө машинада код иштеткенин далилдебейт; ишенимдин өзгөрүшү бир нече мүмкүнчүлүктүн бири. Сертификатты бүт окуя катары эмес, чегин аныктоо керек болгон табылга катары караңыз.

Кампа сертификат сыяктуу эле маанилүү: колдонуучу деңгээлиндеги топтом жана системалык деңгээлдеги якорь ар кандай керектөөчүлөргө жетет.

Ар бир текшерүүчүнү жана анын ишеним булагын картага түшүрүңүз

Таасир эткен жумуш агымдары үчүн сертификаттарды текшерген ар бир компонентти жазыңыз: браузер, пакет менеджери, почта кардары, VPN. Андан кийин алардын ар бири окуган ишеним булагын табыңыз.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Каталог тизмеси Debian стилиндеги системаларда жергиликтүү кошулган якорьдерди көрсөтөт, ал эми ишеним тизмеси системалык кампа азыр эмнени сунуштап жатканын көрсөтөт. Өз кампасы бар браузер ал жерде көрүнбөйт, ал эми Java же Python тиркемеси дагы башка топтомду колдонушу мүмкүн. Кайсы жазуулар күтүлөрүн жана кайсылары күтүлбөөрүн көрсөтүлгөн ат менен эмес, манжа изи менен жазыңыз. Бул тизме — окуяга жооп берүүчүгө бир нерсени жок кылардан мурун керек болгон нерсе.

VPNдин өз шеригин текшерүүсүн текшериңиз

VPNде жеке CA же ачык манжа изи болсо, ал дарбазаны өз конфигурациясына ылайык баалайт. Кардар эмнени күткөнүн дарбаза сунуштаган нерсе менен салыштырыңыз.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Чыгарылыш акыркы чекит сунуштаган сертификаттын SHA-256 манжа изин жана субъектин берет, аларды конфигурацияланган маани менен салыштырсаңыз болот. OpenVPN программасында шерик манжа изи параметри бар, ал системалык кампадан кол коюучуну кабыл алууну талап кылбастан туннель үчүн ушул салыштырууну аткарат. Бул көз карандысыздык туннель үчүн пайдалуу жана браузер жөнүндө эч нерсе айтпайт. Күтүлгөн манжа изи башынан эле шектүү байланыштан көчүрүлгөн болсо, бул да жардам бербейт.

Окуянын аймагын сертификаттан тышкары аныктаңыз

Уруксатсыз якорьдерди алып салуу жана алар менен адатта келүүчү өзгөрүүлөрдү издөө үчүн түзмөктүн ээсинин жол-жобосун колдонуңуз: жаңы кызматтар, өзгөртүлгөн кардарлар, өзгөртүлгөн прокси параметрлери. Башкарылуучу машинада башка программалар көз каранды болгон материалды жок кылардан мурун мыйзамдуу конфигурацияны ырастаңыз. Ар бир текшерүүчү үчүн анын ишеними кайдан келерин, кандай инсандыкты күтөрүн жана учурдагы конфигурация туура экенин кантип ырастаганыңызды жазыңыз. Тазалоодон кийинки иштеп жаткан туннель — бир байкоо, акыркы чекиттин таза экендигинин далили эмес.

Андан кийин кампаны колдонгон жумуш агымдарын кайра сынаңыз, анткени якорьди алып салуу ага мыйзамдуу таянган ички кызматты бузушу мүмкүн. Калпына келтирүү күтүлгөн ишеним мамилелери иштегенде жана күтүлбөгөндөрү иштебегенде аяктайт.