അധിക റൂട്ട് സർട്ടിഫിക്കറ്റ് ഏത് വാലിഡേറ്ററുകളെ ബാധിക്കുന്നു?

അവിടെ ഉണ്ടാകരുതാത്ത ഒരു റൂട്ട് സർട്ടിഫിക്കറ്റ് നിങ്ങൾ കണ്ടെത്തുന്നു, ആദ്യ ചോദ്യം അത് ആരുടെ ഐഡന്റിറ്റി അനുകരിക്കാം എന്നതാണ്. സത്യസന്ധമായ ഉത്തരം, ഏത് സോഫ്റ്റ്വെയർ ആ സ്റ്റോർ പരിശോധിക്കുന്നു, നിങ്ങളുടെ VPN എങ്ങനെ ഗേറ്റ്വേ പരിശോധിക്കുന്നു എന്നിവയെ ആശ്രയിച്ചിരിക്കുന്നു. ഒരു ബ്രൗസർ, ഒരു പാക്കേജ് മാനേജർ, പിൻ ചെയ്ത ഫിംഗർപ്രിന്റുള്ള ഒരു VPN ക്ലയന്റ് എന്നിവ ഒരേ വിശ്വാസ തീരുമാനം പങ്കിടണമെന്നില്ല. പരിധി തീരുമാനിക്കുന്നതിന് മുമ്പ് വാലിഡേറ്ററുകൾ മാപ്പ് ചെയ്യുക.

സിസ്റ്റം സ്റ്റോറിലെ റൂട്ട് ഒരു സാർവത്രിക കീ അല്ല

ഒരു റൂട്ട് ഇൻസ്റ്റാൾ ചെയ്യുന്നത് ആ കീ ഉപയോഗിച്ച് ഒപ്പിട്ട സർട്ടിഫിക്കറ്റുകളെ ബാധിത സ്റ്റോർ ഉപയോഗിക്കുന്ന പ്രോഗ്രാമുകൾക്ക് സ്വീകാര്യമാക്കുന്നു. ചില ആപ്ലിക്കേഷനുകൾ സ്വന്തം ബണ്ടിൽ കൊണ്ടുവരുന്നതിനാലോ പിൻ ചെയ്ത മൂല്യം പരിശോധിക്കുന്നതിനാലോ അത് അവയെ സ്വയമേവ എല്ലായിടത്തും സ്വീകാര്യമാക്കുന്നില്ല. ആരെങ്കിലും യന്ത്രത്തിൽ കോഡ് പ്രവർത്തിപ്പിച്ചു എന്നതിന് ഇത് തെളിവുമല്ല; വിശ്വാസ മാറ്റം പല കഴിവുകളിൽ ഒന്നു മാത്രമാണ്. സർട്ടിഫിക്കറ്റിനെ മുഴുവൻ സംഭവമായി കാണാതെ, പരിധി നിർണ്ണയിക്കേണ്ട കണ്ടെത്തലായി കാണുക.

സർട്ടിഫിക്കറ്റിനോളം തന്നെ സ്റ്റോറിനും പ്രാധാന്യമുണ്ട്: ഉപയോക്തൃതല ബണ്ടിലും സിസ്റ്റം വ്യാപകമായ ആങ്കറും വ്യത്യസ്ത ഉപഭോക്താക്കളിൽ എത്തുന്നു.

ഓരോ വാലിഡേറ്ററും അതിന്റെ വിശ്വാസ ഉറവിടവും മാപ്പ് ചെയ്യുക

ബാധിത വർക്ക്ഫ്ലോകൾക്കായി സർട്ടിഫിക്കറ്റുകൾ സാധൂകരിക്കുന്ന ഓരോ ഘടകവും എഴുതുക: ബ്രൗസർ, പാക്കേജ് മാനേജർ, മെയിൽ ക്ലയന്റ്, VPN. തുടർന്ന് ഓരോന്നും വായിക്കുന്ന വിശ്വാസ ഉറവിടം കണ്ടെത്തുക.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

ഡയറക്ടറി ലിസ്റ്റിംഗ് Debian ശൈലിയിലുള്ള സിസ്റ്റങ്ങളിൽ പ്രാദേശികമായി ചേർത്ത ആങ്കറുകൾ കാണിക്കുന്നു, വിശ്വാസ പട്ടിക സിസ്റ്റം സ്റ്റോർ ഇപ്പോൾ എന്ത് വെളിപ്പെടുത്തുന്നു എന്ന് കാണിക്കുന്നു. സ്വന്തം സ്റ്റോറുള്ള ഒരു ബ്രൗസർ അവിടെ പ്രത്യക്ഷപ്പെടില്ല, Java അല്ലെങ്കിൽ Python ആപ്ലിക്കേഷൻ മറ്റൊരു ബണ്ടിൽ ഉപയോഗിച്ചേക്കാം. ഏത് എൻട്രികൾ പ്രതീക്ഷിക്കുന്നു, ഏതല്ല എന്നത് പ്രദർശിപ്പിച്ച പേരിന് പകരം ഫിംഗർപ്രിന്റ് ഉപയോഗിച്ച് രേഖപ്പെടുത്തുക. എന്തെങ്കിലും ഇല്ലാതാക്കുന്നതിന് മുമ്പ് സംഭവ പ്രതികരണക്കാരന് വേണ്ടത് ഈ പട്ടികയാണ്.

VPN-ന്റെ സ്വന്തം പിയർ സാധൂകരണം പരിശോധിക്കുക

VPN-ന് സ്വകാര്യ CA അല്ലെങ്കിൽ വ്യക്തമായ ഫിംഗർപ്രിന്റ് ഉണ്ടെങ്കിൽ, അത് ഗേറ്റ്വേയെ സ്വന്തം കോൺഫിഗറേഷൻ അനുസരിച്ച് വിലയിരുത്തുന്നു. ക്ലയന്റ് പ്രതീക്ഷിക്കുന്നതും ഗേറ്റ്വേ അവതരിപ്പിക്കുന്നതും താരതമ്യം ചെയ്യുക.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

എൻഡ്പോയിന്റ് അവതരിപ്പിക്കുന്ന സർട്ടിഫിക്കറ്റിന്റെ SHA-256 ഫിംഗർപ്രിന്റും വിഷയവും ഔട്ട്പുട്ട് നൽകുന്നു, അവ കോൺഫിഗർ ചെയ്ത മൂല്യവുമായി താരതമ്യം ചെയ്യാം. OpenVPN-ന്റെ പിയർ-ഫിംഗർപ്രിന്റ് ഓപ്ഷൻ സിസ്റ്റം സ്റ്റോർ ഒപ്പിട്ടയാളെ സ്വീകരിക്കേണ്ടതില്ലാതെ ടണലിനായി ആ താരതമ്യം നടത്തുന്നു. ആ സ്വാതന്ത്ര്യം ടണലിന് ഉപകാരപ്രദമാണ്, ബ്രൗസറിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല. പ്രതീക്ഷിച്ച ഫിംഗർപ്രിന്റ് തുടക്കത്തിൽ തന്നെ സംശയാസ്പദമായ കണക്ഷനിൽ നിന്ന് പകർത്തിയതാണെങ്കിൽ അതും സഹായിക്കില്ല.

സർട്ടിഫിക്കറ്റിനപ്പുറം സംഭവത്തിന്റെ പരിധി നിർണ്ണയിക്കുക

അനധികൃത ആങ്കറുകൾ നീക്കം ചെയ്യാനും സാധാരണയായി അവയോടൊപ്പം വരുന്ന മാറ്റങ്ങൾ തിരയാനും ഉപകരണ ഉടമയുടെ നടപടിക്രമം ഉപയോഗിക്കുക: പുതിയ സേവനങ്ങൾ, പരിഷ്കരിച്ച ക്ലയന്റുകൾ, മാറ്റിയ പ്രോക്സി ക്രമീകരണങ്ങൾ. മാനേജ് ചെയ്യുന്ന യന്ത്രത്തിൽ, മറ്റ് സോഫ്റ്റ്വെയർ ആശ്രയിക്കുന്ന വസ്തുക്കൾ ഇല്ലാതാക്കുന്നതിന് മുമ്പ് സാധുവായ കോൺഫിഗറേഷൻ സ്ഥിരീകരിക്കുക. ഓരോ വാലിഡേറ്ററിനും അതിന്റെ വിശ്വാസം എവിടെ നിന്ന് വരുന്നു, ഏത് ഐഡന്റിറ്റി പ്രതീക്ഷിക്കുന്നു, നിലവിലെ കോൺഫിഗറേഷൻ ശരിയാണെന്ന് നിങ്ങൾ എങ്ങനെ സ്ഥിരീകരിച്ചു എന്നിവ രേഖപ്പെടുത്തുക. വൃത്തിയാക്കലിന് ശേഷം പ്രവർത്തിക്കുന്ന ടണൽ ഒരു നിരീക്ഷണം മാത്രമാണ്, എൻഡ്പോയിന്റ് ശുദ്ധമാണെന്നതിന്റെ തെളിവല്ല.

തുടർന്ന് സ്റ്റോർ ഉപയോഗിച്ച വർക്ക്ഫ്ലോകൾ വീണ്ടും പരിശോധിക്കുക, കാരണം ഒരു ആങ്കർ നീക്കം ചെയ്യുന്നത് അതിൽ നിയമാനുസൃതമായി ആശ്രയിച്ചിരുന്ന ഒരു ആന്തരിക സേവനം തകർത്തേക്കാം. പ്രതീക്ഷിക്കുന്ന വിശ്വാസ ബന്ധങ്ങൾ പ്രവർത്തിക്കുകയും പ്രതീക്ഷിക്കാത്തവ പ്രവർത്തിക്കാതിരിക്കുകയും ചെയ്യുമ്പോൾ വീണ്ടെടുക്കൽ പൂർത്തിയാകുന്നു.