Эскирген VPN сертификатын ишеним кампасынан кантип алып салуу керек

Сиздин VPN кардары алынып салынган, профиль Жөндөөлөрдөн жоголгон, бирок туннель эски эсептик маалыматтар менен көтөрүлөт. Же аны жок кыласыз, кайра жүктөйсүз, эртеңки таңда кайра табасыз. Экөө тең бузулган жок кылуу баскычы эмес. Профиль — конфигурация; сертификат — ачкыч материалы жана профиль гана шилтеме кылган кампада жазылган ишеним чечими. Булардын кайсынысы колуңузда экени 'жок кылуу' эмнени билдириши керектигин аныктайт.

Профиль сертификат эмес

VPN жөндөөсүндө үч башка объект 'сертификат' деп аталат. Кардардын инсандыгы жеке ачкычы бар акыркы сертификат, жана шлюз аны сиз ким экениңизди аныктоо үчүн колдонот. Сервердин өз акыркы сертификаты жана анын аралык сертификаты — кардарыңыз туташканда текшере турган нерсе. Ишеним зымы — адатта тамырдык же жеке CA сертификаты — тизмекти такыр текшерилүүчү кылат. RFC 5280 буларды ишеним зымы, аралык сертификат жана акыркы субъект деп атайт, ал эми тизмек ар бир звенону өзүнөн төмөнкүсүнө кол койгондо гана жарактуу.

Инсандыкты жок кылыңыз — бир түзмөк кирүүдөн ажырайт. Зымды жок кылыңыз, ошондо ошол кампага каршы текшерүү жүргүзгөн ар бир колдонмо анын астында берилген нерсенин баарын текшерүү жөндөмүнөн ажырайт, VPN менен эч кандай байланышы жок туташууларды кошкондо. Бул асимметрия — бул жердеги бүт тобокелдик: бир шлюз үчүн орнотулган тамыр көп учурда ички порталга, почта серверине же пакет күзгүсүнө кол койгон ошол эле тамыр. Экөөнүн кайсынысы колуңузда экенин унутпаңыз.

Менчик жок кылуу жок кылынган бойдон калабы же жокпу — ошону чечет. Өзүңүзгө тиешелүү ноутбукта сертификатты кайра коюуга сиз гана жөндөмдүүсүз. Башкарылуучу түзмөктө конфигурация профили же MDM жүктөмү аны кийинки текшерүүдө кайра орнотушу мүмкүн, ошондуктан ал 'кайтат' жана ошондуктан катуураак жок кылуу жардам бербейт.

Кайсы кампа аны дагы эле сактап турганын табыңыз

Адамдар Жөндөөлөр колдонмосунан башташат, ал сертификат сакталбаган жалгыз жер. Чыныгы жерлер — ОСтин ишеним кампалары, браузердин өз кампасы жана колдонмонун жеке кампасы.

Сериялык номери же манжа изи боюнча дал келтириңиз, эч качан көрсөтүлүүчү ат боюнча эмес. Көрсөтүлүүчү аттарды сертификатты берген адам коет жана алар кайра колдонулат: 'Example VPN' үч башка ачкычы бар үч сертификат болушу мүмкүн, бири дагы күндөлүк колдонууда.

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

macOSто security куралы ошол эле фактыларды берет, жана find-identity кайсы сертификаттарга дагы жеке ачкыч тиркелгенин көрсөтөт:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

Кууш объектти жок кылыңыз, жалпы берүүчүнү калтырыңыз

Жок кылуудан мурун экспорттоңуз. Резервдик көчүрмө жок болсо, жалгыз калыбына келтирүү — кайра берүү, бул жеке CAда PKI башкарган адамга кайра барууну билдирет. Экспорттолгон PFX — жок кылуу туура эмес чечим болуп калса, өткөрүп бере турган нерсеңиз да.

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

Бул -user желекче — адамдар байкабастан калтырган желекче. Ансыз certutil машина кампасында иштейт, бул көтөрүлгөн shell, башка сертификаттар жыйындысы жана эми машинадагы бардык башка эсепти камтыган таасир радиусун билдирет.

macOS жана Linuxте форма бирдей: аныктаңыз, экспорттоңуз, анан симптомду түшүндүргөн эң кууш кампадан алып салыңыз. /usr/local/share/ca-certificates астындагы файлды жок кылуу жана update-ca-certificates ни кайра иштетүү жетиштүү; --fresh тек /etc/ssl/certs деги символдук шилтемелер мурунтан эле шайкеш эмес болгондо гана жардам берет. RHEL үй-бүлөсүнүн системалары зымдарды /etc/pki/ca-trust/source/anchors де сактайт, ал жерде trust anchor --remove ошол эле ишти аткарат.

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

CA сертификатын жок кылуудан мурун ага дагы эмне тизмектелип тураанын текшериңиз. Бумадагы субъектилерди тизмелөө эки сап текшерүү жана ошол зым башка иш аткарабы, ошого жооп берет:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

Файлды жок кылуу — инсандыкты кайтарып алуу эмес

Жергиликтүү жок кылуу бир көчүрмөнү алып салат. Жеке ачкыч дагы эле эски билетке тиркелген p12де, резервдик папкада же ошол эле учурда орнотулган экинчи ноутбукта болушу мүмкүн. Эгер бул кардардын инсандыгы болсо, шлюз ошол ачкычтын каалаган көчүрмөсүн инсандык сервер тарапта четке кагылганга чейин кабыл ала берет.

Бир OpenVPN PKI үчүн бул сертификатты кайтарып алуу жана crl-verify шилтеме кылган CRLдин актуалдуу экенин камсыз кылууну билдирет; easyrsa revoke анан easyrsa gen-crl кыска версиясы. Инсандык провайдерине байланган шлюз үчүн ал жерден колдонуучуну өчүрүңүз же түзмөктү алып салыңыз, анткени сертификат оюндагы жалгыз эсептик маалымат. Эсеп активдүү турганда жергиликтүү көчүрмөнү жок кылуу тазалоого окшош, бирок андай эмес.

Окуя ишинин тартиби башка: адегенде сертификатты, анын сериялык номерин жана кайтарып алуу жазуусун сактаңыз, анан жок кылыңыз жана кайтарып алыңыз. Бул жазуулар эч нерсе турбайт жана иштеген эсептик маалыматты ордунда калтырууну талап кылбайт.

Кол алышуу жана экинчи колдонмо менен текшериңиз

Тизмекти сырттан текшериңиз, жаңы эле оңдогон кампанын тизмесинен эмес. Кампа өзгөртүүңүздү көрсөтөт; кол алышуу жыйынтыкты көрсөтөт.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

0 кайтаруу коду калган зымдар шлюзду дагы эле текшерерин билдирет. Зымды жок кылгандан кийинки тизмек катасы күтүлгөн жыйынтык жана сиз колдонуудагы зымга тийгениңизди, кардар эч качан окубаган кампадагы көчүрмөгө эмес, тастыктайт. Туташуу дагы эле иштесе, экинчи көчүрмөнү, колдонмого камтылган кампаны же бекитилген сертификатты издеңиз, алардын баары өз ишеним тизмесин алып келген кардарларда кеңири таралган.

Анан байланышы жок нерсени сынаңыз: ички сайт, почта кардары, пакет күзгүсү. Бул өзгөрүү терезеси жабылганга чейин таасир радиусун арзан өлчөйт.

• Роль инсандык, аралык сертификат же ишеним зымы катары аныкталды
• Сериялык номер жана манжа изи жазылды, ал эми көчүрмө бекитилген жерге экспорттолду
• Жок кылуу симптомду түшүндүргөн эң кууш алкакта аткарылды
• Адам же түзмөк кеткенде сервер тараптагы авторизация кайтарып алынды
• Кол алышуу түшүндүрүлдү жана бир байланышы жок колдонмо кайра сыналды
• MDM жүктөмү же башкаруу профили жаңыртылды, антпесе сертификат кайтат

Эгер сертификат кайра жүктөөдөн кийин кайта келсе, иш бүтө элек: бир нерсе ага ээ жана аны кайра орнотот. Кайра жок кылуудан мурун ошол ээсин табыңыз, анткени үчүнчү жок кылуу алгачкы экиге окшош болот.