Wéi eng Validatoren beaflosst en zousätzlecht Root-Zertifikat?

Dir fannt en Root-Zertifikat, dat net do sollt sinn, an déi éischt Fro ass, wiem seng Identitéit et kann imitationéieren. Déi éierlech Äntwert hänkt dovun of, wéi eng Software dee Buttek consultéiert a wéi Är VPN hire Gateway verifizéiert. E Browser, e Pak-Manager an e VPN-Client mat engem agepinnten Fangerofdrock deelen net onbedéngt déiselwecht Vertrauensentscheedung. Kartéiert d'Validatoren, ier Dir de Kader festleet.

Eng Root am Systembuttek ass keen universelle Schlëssel

Eng Root installéieren mécht Zertifikater, déi mat deem Schlëssel ënnerschriwwen sinn, akzeptabel fir Programmer, déi de betraffene Buttek benotzen. Et mécht se net automatesch iwwerall akzeptabel, well e puer Applikatiounen hir eege Bundle matbréngen oder en agepinnte Wäert kontrolléieren. Et beweist och net, datt een Code op der Maschinn ausgefouert huet; eng Vertrauensännerung ass eng vun e puer Méiglechkeeten. Behandelt d'Zertifikat als Befund, deem säi Kader festzeleeën ass, net als den ganze Virfall.

De Buttek ass esou wichteg wéi d'Zertifikat: eng Bundle op Benotzerniveau an en Anker op Systemniveau erreechen ënnerschiddlech Konsumenten.

Kartéiert all Validator an seng Vertrauensquell

Schreift all Komponent op, déi Zertifikater fir déi betraffe Workflows validéiert: Browser, Pak-Manager, Mailclient, VPN. Fannt dann d'Vertrauensquell, déi jiddweree liest.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

D'Verzeechneslëscht weist lokal déi bäigefüügte Ankeren op Systemer am Debian-Stil, an d'Vertrauenslëscht weist, wat de Systembuttek de Moment exponéiert. En Browser mat sengem eegene Buttek wäert do net erschéngen, an eng Java- oder Python-Applikatioun kéint nach eng aner Bundle benotzen. Notéiert, wéi eng Anträg erwaart ginn an wéi eng net, andeems Dir de Fangerofdrock benotzt an net nëmmen den ugewisene Numm. Déi Lëscht ass dat, wat en Incident-Responder brauch, ier eppes geläscht gëtt.

Kontrolléiert dem VPN seng eege Peer-Validatioun

Eng VPN mat enger privater CA oder engem explizite Fangerofdrock bewäert de Gateway no hirer eegener Konfiguratioun. Vergläicht, wat de Client erwaart, mat deem, wat de Gateway presentéiert.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

D'Ausgab gëtt den SHA-256-Fangerofdrock an den Sujet vum Zertifikat, deen den Endpunkt presentéiert, a Dir kënnt se mam konfiguréierte Wäert vergläichen. OpenVPN huet eng Optioun fir Peer-Fangerofdrock, déi dee Verglach fir den Tunnel mécht, ouni datt de Systembuttek den Ënnerschreiwer muss akzeptéieren. Déi Onofhängegkeet ass nëtzlech fir den Tunnel a seet näischt iwwer de Browser. Et hëlleft och net, wann den erwaarten Fangerofdrock vun Ufank un aus der verdächteger Verbindung kopéiert gouf.

Bestëmmt de Kader vum Virfall iwwer d'Zertifikat eraus

Benotzt de Prozedur vum Besëtzer vum Apparat, fir onautoriséiert Ankeren ze läschen an no de Verännerungen ze sichen, déi se gewéinlech begleeden: nei Servicer, geännert Clienten, geännert Proxy-Astellungen. Op enger geréierter Maschinn bestätegt déi legitim Konfiguratioun, ier Dir Material läscht, op dat aner Software ugewise ass. Notéiert fir all Validator, wou säin Vertrauen hierkënnt, wéi eng Identitéit en erwaart a wéi Dir bestätegt hutt, datt déi aktuell Konfiguratioun richteg ass. En funktionéierenden Tunnel no der Botz ass eng Observatioun, net de Beweis, datt den Endpunkt propper ass.

Test da d'Workflows nach eng Kéier, déi de Buttek benotzt hunn, well en Anker ewechhuelen en internen Service ka briechen, dee sech legitim drop verlooss huet. D'Erhuelung ass fäerdeg, wann déi erwaart Vertrauensbezéiungen funktionéieren an déi onerwaart net.