Kā no uzticības krātuves noņemt novecojušu VPN sertifikātu

Jūsu VPN klients ir atinstalēts, profils ir pazudis no Iestatījumiem, un tunelis joprojām ceļas ar vecajiem akreditācijas datiem. Vai arī jūs to izdzēšat, pārstartējat un nākamajā rītā atkal atrodat. Neviens no abiem nav salauzta dzēšanas poga. Profils ir konfigurācija; sertifikāts ir atslēgas materiāls un uzticības lēmums, kas ierakstīts krātuvē, uz kuru profils tikai norāda. Kuru no abiem turat, nosaka to, ko nozīmē 'noņemt'.

Profils nav sertifikāts

VPN iestatījumā 'sertifikāts' tiek saukti trīs dažādi objekti. Klienta identitāte ir gala sertifikāts ar privāto atslēgu, un vārteja to izmanto, lai izlemtu, kas jūs esat. Servera paša gala sertifikāts un tā starpposma sertifikāts ir tas, ko jūsu klients pārbauda, kad pievienojas. Uzticības enkurs, parasti saknes vai privātais CA sertifikāts, ir tas, kas ķēdi vispār padara pārbaudāmu. RFC 5280 nosauc tos par uzticības enkuru, starpposma sertifikātu un gala entītiju, un ķēde ir derīga tikai tik ilgi, kamēr katrs posms paraksta zemāko.

Izdzēsiet identitāti, un viena ierīce zaudēs piekļuvi. Izdzēsiet enkuru, un katra lietotne, kas validē pret šo krātuvi, zaudēs iespēju pārbaudīt jebko, kas tajā izsniegts, tostarp savienojumus, kuriem ar VPN nav nekāda sakara. Šī asimetrija ir viss risks šeit: vienai vārtejai instalēta sakne bieži ir tā pati sakne, kas paraksta iekšējo portālu, pasta serveri vai paku spoguli. Atcerieties, kuru no abiem turat.

Īpašumtiesības nosaka, vai dzēšana paliks izdzēsta. Savā portatīvajā datorā sertifikātu var atgriezt tikai jūs. Pārvaldītā ierīcē konfigurācijas profils vai MDM lietderīgā slodze to var atkārtoti instalēt nākamajā reģistrēšanās reizē, tāpēc tas 'atgriežas' un tāpēc stingrāka dzēšana nepalīdz.

Noskaidrojiet, kura krātuve to vēl tur

Cilvēki sāk ar Iestatījumu lietotni, un tā ir vienīgā vieta, kur sertifikāts netiek glabāts. Īstās vietas ir OS uzticības krātuves, pārlūka paša krātuve un lietotnes privātā krātuve.

Saskaņojiet pēc sērijas numura vai pirksta nospieduma, nekad pēc parādāmā nosaukuma. Parādāmos nosaukumus nosaka sertifikāta izdevējs, un tie tiek izmantoti atkārtoti: 'Example VPN' var būt trīs sertifikāti ar trim dažādām atslēgām, viens no tiem vēl ikdienas lietošanā.

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

macOS security rīks sniedz tos pašus faktus, un find-identity parāda, kuriem sertifikātiem vēl ir pievienota privātā atslēga:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

Izdzēsiet šauro objektu, saglabājiet kopīgo izdevēju

Eksportējiet pirms dzēšanas. Bez dublējuma vienīgā atkopšana ir atkārtota izsniegšana, kas privātā CA nozīmē atgriešanos pie tā, kurš pārvalda PKI. Eksportētais PFX ir arī tas, ko nododat, ja noņemšana izrādās nepareizs lēmums.

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

Karogs -user ir tas, ko cilvēki nejauši izlaiž. Bez tā certutil strādā ar mašīnas krātuvi, kas nozīmē paaugstinātu čaulu, citu sertifikātu kopu un ietekmes rādiusu, kas tagad ietver visus citus mašīnas kontus.

macOS un Linux formā ir tāda pati: identificējiet, eksportējiet, pēc tam noņemiet no šaurākās krātuves, kas izskaidro simptomu. /usr/local/share/ca-certificates esošo failu noņemt un update-ca-certificates palaist no jauna ir pietiekami; --fresh palīdz tikai tad, ja /etc/ssl/certs esošās simboliskās saites jau ir nekonsekventas. RHEL saimes sistēmas enkurus glabā /etc/pki/ca-trust/source/anchors, kur trust anchor --remove dara to pašu darbu.

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

Pirms dzēšat CA sertifikātu, pārbaudiet, kas vēl ķēdējas tam klāt. Pakotnē esošo subjektu uzskaitīšana ir divu rindu pārbaude, un tā atbild, vai šis enkurs veic citu darbu:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

Faila dzēšana nav identitātes atsaukšana

Vietēja dzēšana noņem vienu kopiju. Privātā atslēga joprojām var būt p12, kas pievienota vecai biļetei, dublējumu mapē vai otrajā portatīvajā datorā, kas iestatīts tajā pašā laikā. Ja tā bija klienta identitāte, vārteja turpina pieņemt jebkuru šīs atslēgas kopiju, līdz identitāte tiek noraidīta servera pusē.

Vienai OpenVPN PKI tas nozīmē sertifikāta atsaukšanu un pārliecināšanos, ka CRL, uz kuru atsaucas crl-verify , ir aktuāls; easyrsa revoke pēc tam easyrsa gen-crl ir īsā versija. Vārtejai, kas saistīta ar identitātes nodrošinātāju, tur atspējojiet lietotāju vai noņemiet ierīci, jo sertifikāts ir tikai viens akreditācijas datu elements spēlē. Vietējās kopijas dzēšana, kamēr konts paliek aktīvs, izskatās pēc uzkopšanas un tāda nav.

Incidentu darbam ir cita secība: vispirms saglabājiet sertifikātu, tā sērijas numuru un atsaukšanas ierakstu, pēc tam dzēsiet un atsauciet. Šie ieraksti neko nemaksā un neprasa atstāt darbojošus akreditācijas datus uz vietas.

Pārbaudiet ar roku sasveicināšanos un otru lietotni

Pārbaudiet ķēdi no ārpuses, nevis no tikko rediģētā krātuves saraksta. Krātuve parāda jūsu labojumu; roku sasveicināšanās parāda rezultātu.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

Atgriešanas kods 0 nozīmē, ka atlikušie enkuri joprojām validē vārteju. Ķēdes kļūda pēc enkura noņemšanas ir gaidītais iznākums, un tā apstiprina, ka trāpījāt lietotajam enkuram, nevis dublikātam krātuvē, ko klients nekad nelasa. Ja savienojums joprojām darbojas, meklējiet otru kopiju, lietotnē iekļautu krātuvi vai piespraustu sertifikātu, kas visi ir izplatīti klientos, kuri piegādā savu uzticības sarakstu.

Pēc tam pārbaudiet kaut ko nesaistītu: iekšēju vietni, pasta klientu, paku spoguli. Tas lēti izmēra ietekmes rādiusu, pirms aizveras izmaiņu logs.

• Loma identificēta kā identitāte, starpposma sertifikāts vai uzticības enkurs
• Sērijas numurs un pirksta nospiedums reģistrēti, un kopija eksportēta uz apstiprināto vietu
• Dzēšana veikta šaurākajā apjomā, kas izskaidro simptomu
• Servera puses autorizācija atsaukta, kad persona vai ierīce aizgāja
• Roku sasveicināšanās izskaidrota, un viena nesaistīta lietotne pārbaudīta vēlreiz
• MDM lietderīgā slodze vai pārvaldības profils atjaunināts, citādi sertifikāts atgriežas

Ja sertifikāts pēc pārstartēšanas ir atgriezies, darbs nav pabeigts: kaut kas to pārvalda un instalē no jauna. Atrodiet šo īpašnieku pirms atkārtotas dzēšanas, jo trešā dzēšana izturēsies tieši kā pirmās divas.