Kurus validētājus ietekmē papildu saknes sertifikāts?

Jūs atrodat saknes sertifikātu, kam tur nevajadzētu būt, un pirmais jautājums ir, kuras identitātes vārdā tas var uzstāties. Godīgā atbilde ir atkarīga no tā, kura programmatūra konsultējas ar šo krātuvi un kā jūsu VPN pārbauda savu vārteju. Pārlūks, pakešu pārvaldnieks un VPN klients ar piespraustu pirksta nospiedumu ne vienmēr dala vienu un to pašu uzticēšanās lēmumu. Kartējiet validētājus, pirms noteikt apjomu.

Sakne sistēmas krātuvē nav universāla atslēga

Saknes instalēšana padara ar šo atslēgu parakstītus sertifikātus pieņemamus programmām, kas izmanto skarto krātuvi. Tas nepadara tos automātiski pieņemamus visur, jo dažas lietotnes piegādā savu paketi vai pārbauda piespraustu vērtību. Tas arī nepierāda, ka kāds mašīnā izpildīja kodu; uzticēšanās izmaiņa ir viena no vairākām iespējām. Uzlūkojiet sertifikātu kā atradumu, kura apjoms jānosaka, nevis kā visu incidentu.

Krātuve ir tikpat svarīga kā sertifikāts: lietotāja līmeņa pakete un sistēmas līmeņa enkurs sasniedz dažādus patērētājus.

Kartējiet katru validētāju un tā uzticēšanās avotu

Pierakstiet katru komponentu, kas validē sertifikātus skartajām darbplūsmām: pārlūks, pakešu pārvaldnieks, pasta klients, VPN. Pēc tam atrodiet uzticēšanās avotu, ko katrs no tiem lasa.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Direktorijas saraksts parāda lokāli pievienotos enkurus Debian stila sistēmās, un uzticēšanās saraksts parāda, ko sistēmas krātuve pašlaik atklāj. Pārlūks ar savu krātuvi tur neparādīsies, un Java vai Python lietotne var izmantot vēl citu paketi. Pierakstiet, kuri ieraksti ir gaidīti un kuri nav, izmantojot pirksta nospiedumu, nevis tikai attēoto nosaukumu. Šis saraksts ir tas, kas incidenta reaģētājam nepieciešams pirms kaut kā dzēšanas.

Pārbaudiet paša VPN partnera validāciju

VPN ar privātu CA vai skaidru pirksta nospiedumu novērtē vārteju pēc savas konfigurācijas. Salīdziniet, ko klients gaida, ar to, ko vārteja uzrāda.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Izvade sniedz gala punkta uzrādītā sertifikāta SHA-256 pirksta nospiedumu un subjektu, ko varat salīdzināt ar konfigurēto vērtību. OpenVPN ir partnera pirksta nospieduma opcija, kas veic šo salīdzinājumu tunelim, neprasot, lai sistēmas krātuve pieņemtu parakstītāju. Šī neatkarība ir noderīga tunelim un neko nepasaka par pārlūku. Tā nepalīdzēs arī tad, ja gaidītais pirksta nospiedums jau sākumā tika nokopēts no aizdomīgā savienojuma.

Noteikt incidenta apjomu ārpus sertifikāta

Izmantojiet ierīces īpašnieka procedūru, lai noņemtu neatļautus enkurus un meklētu izmaiņas, kas parasti tos papildina: jauni pakalpojumi, modificēti klienti, mainīti starpniekservera iestatījumi. Pārvaldītā mašīnā apstipriniet likumīgo konfigurāciju, pirms dzēšat materiālu, no kā atkarīga cita programmatūra. Katram validētājam pierakstiet, no kurienes nāk tā uzticēšanās, kādu identitāti tas gaida un kā jūs apstiprinājāt, ka pašreizējā konfigurācija ir pareiza. Strādājošs tunelis pēc tīrīšanas ir viens novērojums, nevis pierādījums, ka gala punkts ir tīrs.

Pēc tam vēlreiz pārbaudiet darbplūsmas, kas izmantoja krātuvi, jo enkura noņemšana var salauzt iekšēju pakalpojumu, kas likumīgi uz to paļāvās. Atjaunošana ir pabeigta, kad gaidītās uzticēšanās attiecības darbojas, bet negaidītās ne.