Кои валидатори ги засегнува дополнителен коренски сертификат?

Наоѓате коренски сертификат што не треба да биде таму, а првото прашање е чиј идентитет може да го имитира. Честниот одговор зависи од тоа кој софтвер го консултира тоа складиште и како вашиот VPN ја проверува својата порта. Прелистувач, менаџер на пакети и VPN клиент со закачен отпечаток не мора да делат иста одлука за доверба. Мапирајте ги валидаторите пред да го одредите опсегот.

Корен во системското складиште не е универзален клуч

Инсталирањето корен ги прави сертификатите потпишани со тој клуч прифатливи за програмите што го користат засегнатото складиште. Тоа не ги прави автоматски прифатливи насекаде, бидејќи некои апликации носат сопствен пакет или проверуваат закачена вредност. Исто така не докажува дека некој извршил код на машината; промената на доверба е една можност меѓу неколку. Третирајте го сертификатот како наод чиј опсег треба да се одреди, а не како целиот инцидент.

Складиштето е исто толку важно како сертификатот: пакет на корисничко ниво и сидро на системско ниво достигнуваат до различни потрошувачи.

Мапирајте го секој валидатор и неговиот извор на доверба

Запишете ја секоја компонента што валидира сертификати за засегнатите работни текови: прелистувач, менаџер на пакети, клиент за пошта, VPN. Потоа пронајдете го изворот на доверба што го чита секоја од нив.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Списокот на директориумот покажува локално додадени сидра на системи од типот Debian, а списокот на доверба покажува што системското складиште во моментов изложува. Прелистувач со сопствено складиште нема да се појави таму, а Java или Python апликација може да користи уште еден пакет. Забележете кои записи се очекувани, а кои не, користејќи го отпечатокот, а не само прикажаното име. Токму овој список му е потребен на одговорниот за инциденти пред да избрише нешто.

Проверете ја сопствената валидација на партнерот кај VPN

VPN со приватен CA или експлицитен отпечаток ја оценува портата според сопствената конфигурација. Споредете што очекува клиентот со она што го презентира портата.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Излезот го дава отпечатокот SHA-256 и субјектот на сертификатот што го презентира крајната точка, и можете да ги споредите со конфигурираната вредност. OpenVPN има опција за отпечаток на партнерот што ја врши таа споредба за тунелот без да бара системското складиште да го прифати потписникот. Таа независност е корисна за тунелот и не кажува ништо за прелистувачот. Исто така не помага ако очекуваниот отпечаток бил копиран од сомнителната врска уште од почеток.

Одредете го опсегот на инцидентот надвор од сертификатот

Користете ја постапката на сопственикот на уредот за да ги отстраните неовластените сидра и да ги побарате промените што обично ги придружуваат: нови услуги, изменети клиенти, изменети поставки за прокси. На управувана машина потврдете ја легитимната конфигурација пред да избришете материјал од кој зависи друг софтвер. За секој валидатор забележете од каде доаѓа неговата доверба, кој идентитет го очекува и како потврдивте дека тековната конфигурација е точна. Работен тунел по чистењето е едно набљудување, не доказ дека крајната точка е чиста.

Потоа повторете ги работните текови што го користеа складиштето, бидејќи отстранувањето на сидро може да скрши внатрешна услуга што законски се потпирала на него. Воспоставувањето е завршено кога очекуваните односи на доверба функционираат, а неочекуваните не.