Kuriuos validatorius paveikia papildomas šakninis sertifikatas?

Randate šakninį sertifikatą, kurio ten neturėtų būti, ir pirmas klausimas yra, kieno tapatybę jis gali apsimesti. Sąžiningas atsakymas priklauso nuo to, kuri programinė įranga kreipiasi į tą saugyklą ir kaip jūsų VPN tikrina savo tinklų sietuvą. Naršyklė, paketų tvarkyklė ir VPN klientas su prisegtu piršto atspaudu nebūtinai dalijasi tuo pačiu pasitikėjimo sprendimu. Susiekite validatorius, prieš nustatydami apimtį.

Šaknis sistemos saugykloje nėra universalus raktas

Įdiegus šaknį, tuo raktu pasirašyti sertifikatai tampa priimtini programoms, kurios naudoja paveiktą saugyklą. Tai nepadaro jų automatiškai priimtinų visur, nes kai kurios programos atsineša savo paketą arba tikrina prisegtą reikšmę. Tai taip pat neįrodo, kad kas nors paleido kodą mašinoje; pasitikėjimo pokytis yra viena iš kelių galimybių. Traktuokite sertifikatą kaip radinį, kurio apimtį reikia apibrėžti, o ne kaip visą incidentą.

Saugykla svarbi ne mažiau už sertifikatą: naudotojo lygio paketas ir sistemos lygio inkaras pasiekia skirtingus vartotojus.

Susiekite kiekvieną validatorį ir jo pasitikėjimo šaltinį

Užrašykite kiekvieną komponentą, kuris tikrina sertifikatus paveiktiems darbo procesams: naršyklė, paketų tvarkyklė, pašto klientas, VPN. Tada raskite pasitikėjimo šaltinį, kurį kiekvienas jų skaito.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Katalogo sąrašas rodo vietoje pridėtus inkarus Debian tipo sistemose, o pasitikėjimo sąrašas rodo, ką sistemos saugykla šiuo metu atskleidžia. Naršyklė su savo saugykla ten nepasirodys, o Java ar Python programa gali naudoti dar kitą paketą. Užrašykite, kurie įrašai laukiami, o kurie ne, naudodami piršto atspaudą, o ne vien rodomą pavadinimą. Šis sąrašas yra tai, ko incidento ekspertui reikia prieš ką nors ištrinant.

Patikrinkite paties VPN partnerio tikrinimą

VPN su privačiu CA arba aiškiu piršto atspaudu vertina tinklų sietuvą pagal savo konfigūraciją. Palyginkite, ko tikisi klientas, su tuo, ką pateikia tinklų sietuvas.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Išvestis pateikia galinio taško rodomo sertifikato SHA-256 piršto atspaudą ir subjektą, kuriuos galite palyginti su sukonfigūruota reikšme. OpenVPN turi partnerio piršto atspaudo parinktį, kuri atlieka tą palyginimą tuneliui nereikalaudama, kad sistemos saugykla priimtų pasirašiusįjį. Šis nepriklausomumas naudingas tuneliui ir nieko nesako apie naršyklę. Jis taip pat nepadės, jei laukiamas piršto atspaudas nuo pat pradžių buvo nukopijuotas iš įtartino ryšio.

Apibrėžkite incidento apimtį už sertifikato ribų

Naudokite įrenginio savininko procedūrą neleistiniems inkarams pašalinti ir pakeitimams, kurie paprastai juos lydi, ieškoti: naujos paslaugos, pakeisti klientai, pakeisti tarpinio serverio nustatymai. Valdomoje mašinoje patvirtinkite teisėtą konfigūraciją prieš ištrindami medžiagą, nuo kurios priklauso kita programinė įranga. Kiekvienam validatoriui užrašykite, iš kur kilęs jo pasitikėjimas, kokios tapatybės jis tikisi ir kaip patvirtinote, kad dabartinė konfigūracija teisinga. Veikiantis tunelis po valymo yra vienas stebėjimas, o ne įrodymas, kad galinis taškas švarus.

Tada iš naujo patikrinkite darbo procesus, kurie naudojo saugyklą, nes inkaro pašalinimas gali suardyti vidinę paslaugą, kuri teisėtai juo rėmėsi. Atkūrimas baigtas, kai laukiami pasitikėjimo ryšiai veikia, o nelaukti ne.