TLS-Feeler nëmmen am Firmen-VPN: reparéiert de richtegen Zertifikatsspäicher

De Go-Build, d’Composer-Installatioun an de Python-Client schaffen all doheem an all schale bannent dem Firmen-VPN. Dëst Muster seet Iech eppes iwwer de Wee, net iwwer d’Applikatioun. Eppes um Tunnel huet d’Zertifikatskette geännert, déi Äre Prozess gesäit, oder huet den Handshake zréckgesat, ier iwwerhaapt eng Kette ukomm ass. Déi zwou Feeler gesinn am Terminal ähnlech aus a verlaangen ganz ënnerschiddlech Äntwerten.

Dräi Meldungen, dräi Mechanismen

De Feeler x509 certificate signed by unknown authority heescht, datt eng Kette gebaut gouf an hir Wuerzel am Zertifikatsspäicher feelt, deen dee Prozess benotzt. De Feeler self-signed certificate in certificate chain heescht meeschtens, datt en Inspektiounsproxy mat sengem eegene Zertifikat geäntwert huet, an dat ass eng Kette, déi Är Lafzäit net kennt. En SSL EOF wärend dem Handshake heescht, datt d’Verbindung zougemaach gouf, ier en typescht Zertifikat geschéckt gouf, an dat ass eng Mëttelbox, déi de ClientHello ofleent, guer kee Vertrauensproblem.

Eng Fändel fir onsécheren Zoustand derbäisetzen, léisst all dräi Meldungen verschwannen, wärend d’Ofhéierung bleift, an et hëlt d’Kontroll ewech, déi en echte Ugräifer géif fangen.

Fannt de Bündel, deen de Prozess tatsächlech liest

D’Firmenwuerzel, déi am Windows-Späicher installéiert ass, reparéiert Browser an .NET-Applikatiounen, déi de Systemspäicher consultéieren. Si mécht näischt fir e Build, dee bannent engem Container leeft an säin eegene CA-Bündel dréit, an och näischt fir e Python-Prozess mat certifi oder e Node-Prozess mat senger abegraffener Lëscht. Go liest de Systempool vun der Ëmwelt, an där de Binär leeft, also de Container an net de Laptop. Eng eenzeg Maschinn produzéiert dofir gläichzäiteg e funktionéierende Browser an en ausfallend Build-Geschier.

Frot d’Geschier amplaz uzehuelen. python3 -c "import ssl; print(ssl.get_default_verify_paths())" dréckt d’Dateien aus, déi Python consultéiere wäert, an node -e "console.log(process.env.NODE_EXTRA_CA_CERTS)" weist, ob eng Iwwerschreiwung schonn agestallt ass. Fir e Container, loosst déiselwecht Kontroll bannent dem Image lafen, well dat d’Ëmwelt ass, déi de Build tatsächlech benotzt.

Installéier eng Wuerzel do, wou de Build leeft

Kritt d’Inspektiounswuerzel vun der IT als PEM-Datei a verifizéiert hire Fangerofdrock iwwer en separate Kanal, ier Dir hir vertraut. Op Debian-ofgeleeten Images, kopéiert se an /usr/local/share/ca-certificates/ a loosst update-ca-certificates lafen; Images aus der RHEL-Famill benotzen update-ca-trust, nodeems d’Datei an /etc/pki/ca-trust/source/anchors/ geluecht gouf. An engem Container-Build, setzt dës Schrëtt virum ausfallende Kommando derbäi, sou datt d’Schicht iwwer der Installatioun vun den Ofhängegkeete gecacht gëtt.

Fir en lokalen devcontainer, montéiert de PEM a loosst déiselwecht Aktualiséierungskommando beim Start lafen, amplaz se an en perséinlechen Image ze baken, deen keen aneren reproduzéiere kann. Geschier, dat säin eegene Bündel matbréngt, brauch seng eegen dokumentéiert Iwwerschreiwung: pip huet eng Zertifikatsastellung, npm huet eng cafile-Astellung, an déi meescht aner acceptéieren déi Standard-Ëmweltvariabelen.

Dëst ass net datselwecht wéi all Zertifikat ze akzeptéieren. Dir füügt eng bestëmmte Wuerzel, déi Dir vun der Partei kritt hutt, déi d’Inspektioun mécht, enger Ëmwelt derbäi, an d’Verifikatioun bleift fir all aner Kette un. Notéiert, wéi eng Datei derbäigesat gouf a wéini se ofleeft, well eng Inspektiounswuerzel wéi all aner CA erneiert gëtt.

Wann den Handshake virun engem Zertifikat stierft

Wann näischt presentéiert gëtt, hëlleft keng Ännerung um Zertifikatsspäicher. Vergläicht déiselwecht Ufro mam Tunnel op an aus, a kuckt duerno d’Kette direkt mam openssl s_client -connect host:443 -servername host -showcerts. Eng Verbindung, déi baussen dem VPN fäerdeg gëtt an dobannen zréckgesat gëtt, ass eng Politikentscheedung vun der Mëttelbox, an d’Heelmëttel ass eng Ausnam fir deen Host an net nach en Zertifikat. Frot, datt de Paketregister oder den API-Endpunkt onverännert duerchgelooss gëtt.

Den Tunnel splécken, sou datt d’Geschier d’VPN ëmgeet, vermeit d’Inspektioun fir deen Traffic, wat d’Politik kënne verletzen an d’Geschier net vertrauenswierdeg mécht.

Schreift d’Resultat pro Geschier op

Eng kuerz Notiz, déi de Binär, d’Vertrauensdatei, déi en liest, d’Ëmweltvariabel am Spill an déi geneemecht Ausnam oplëscht, spuert dem nächsten Mënsch déi ganz Diagnos. Hält d’Notiz pro Geschier amplaz pro Laptop, well de Laptop ass seelen dat, wat sech geännert huet.

An hält zwou Sätz getrennt am Ticket: mir hunn eng bestëmmt Firmenwuerzel installéiert, a mir hunn d’Verifikatioun ausgeschalt. Nëmmen eng vun deenen zwee ass eng Supportakt.