ഒരു ട്രസ്റ്റ് സ്റ്റോറിൽ നിന്ന് പഴയ VPN സർട്ടിഫിക്കറ്റ് എങ്ങനെ നീക്കം ചെയ്യാം

നിങ്ങളുടെ VPN ക്ലയന്റ് അൺഇൻസ്റ്റാൾ ചെയ്തു, പ്രൊഫൈൽ ക്രമീകരണങ്ങളിൽ നിന്ന് മറഞ്ഞു, എന്നിട്ടും ടണൽ പഴയ ക്രെഡൻഷ്യലുകളുമായി ഉയരുന്നു. അല്ലെങ്കിൽ നിങ്ങൾ അത് ഇല്ലാതാക്കി, റീബൂട്ട് ചെയ്തു, അടുത്ത രാവിലെ അത് തിരികെ കാണുന്നു. രണ്ടും തകർന്ന ഡിലീറ്റ് ബട്ടൺ അല്ല. പ്രൊഫൈൽ ഒരു കോൺഫിഗറേഷനാണ്; സർട്ടിഫിക്കറ്റ് കീ മെറ്റീരിയലും പ്രൊഫൈൽ മാത്രം സൂചിപ്പിക്കുന്ന സ്റ്റോറിൽ രേഖപ്പെടുത്തിയ ഒരു വിശ്വാസ തീരുമാനവുമാണ്. ഇവയിൽ ഏതാണ് നിങ്ങളുടെ കൈയിലുള്ളത് എന്നത് 'നീക്കം ചെയ്യുക' എന്തിനെ അർത്ഥമാക്കണം എന്ന് നിർണ്ണയിക്കുന്നു.

പ്രൊഫൈൽ സർട്ടിഫിക്കറ്റല്ല

VPN സെറ്റപ്പിൽ മൂന്ന് വ്യത്യസ്ത വസ്തുക്കളെ 'സർട്ടിഫിക്കറ്റ്' എന്ന് വിളിക്കുന്നു. ക്ലയന്റ് ഐഡന്റിറ്റി സ്വകാര്യ കീയുള്ള ഒരു ലീഫ് സർട്ടിഫിക്കറ്റാണ്, നിങ്ങൾ ആരാണെന്ന് തീരുമാനിക്കാൻ ഗേറ്റ്വേ അത് ഉപയോഗിക്കുന്നു. സർവറിന്റെ സ്വന്തം ലീഫും അതിന്റെ ഇന്റർമീഡിയറ്റും ആണ് നിങ്ങളുടെ ക്ലയന്റ് കണക്ട് ചെയ്യുമ്പോൾ പരിശോധിക്കുന്നത്. ട്രസ്റ്റ് ആങ്കർ, സാധാരണയായി ഒരു റൂട്ട് അല്ലെങ്കിൽ സ്വകാര്യ CA സർട്ടിഫിക്കറ്റ്, ചെയിൻ ഒട്ടാകെ പരിശോധിക്കാവുന്നതാക്കുന്നത് അതാണ്. RFC 5280 ഇവയെ ട്രസ്റ്റ് ആങ്കർ, ഇന്റർമീഡിയറ്റ്, അന്തിമ എന്റിറ്റി എന്ന് വിളിക്കുന്നു, ഓരോ കണ്ണിയും താഴെയുള്ളതിന് ഒപ്പിടുന്നിടത്തോളം മാത്രമേ ചെയിൻ സാധുവാകൂ.

ഐഡന്റിറ്റി ഇല്ലാതാക്കുക, ഒരു ഉപകരണത്തിന് പ്രവേശനം നഷ്ടമാകും. ആങ്കർ ഇല്ലാതാക്കുക, ആ സ്റ്റോറിനെതിരെ പരിശോധിക്കുന്ന ഓരോ ആപ്പിനും അതിന് കീഴിൽ പുറപ്പെടുവിച്ച എന്തും പരിശോധിക്കാനുള്ള കഴിവ് നഷ്ടമാകും, VPN-മായി യാതൊരു ബന്ധവുമില്ലാത്ത കണക്ഷനുകൾ ഉൾപ്പെടെ. ഈ അസമത്വമാണ് ഇവിടെ മുഴുവൻ അപകടസാധ്യത: ഒരു ഗേറ്റ്വേയ്ക്ക് ഇൻസ്റ്റാൾ ചെയ്ത റൂട്ട് പലപ്പോഴും ഒരു ആന്തരിക പോർട്ടലിനും മെയിൽ സർവറിനും പാക്കേജ് മിററിനും ഒപ്പിടുന്ന അതേ റൂട്ടാണ്. ഇവയിൽ ഏതാണ് കൈയിലുള്ളത് എന്ന് ഓർക്കുക.

ഉടമസ്ഥതയാണ് ഇല്ലാതാക്കൽ ഇല്ലാതാക്കപ്പെട്ടതായി തുടരുമോ എന്ന് തീരുമാനിക്കുന്നത്. നിങ്ങളുടെ സ്വന്തം ലാപ്ടോപ്പിൽ സർട്ടിഫിക്കറ്റ് തിരികെ വയ്ക്കാൻ നിങ്ങൾക്ക് മാത്രമേ കഴിയൂ. മാനേജുചെയ്യുന്ന ഉപകരണത്തിൽ ഒരു കോൺഫിഗറേഷൻ പ്രൊഫൈലോ MDM പേലോഡോ അടുത്ത ചെക്ക്-ഇന്നിൽ അത് വീണ്ടും ഇൻസ്റ്റാൾ ചെയ്തേക്കാം, അതുകൊണ്ടാണ് അത് 'തിരികെ വരുന്നത്', അതുകൊണ്ടാണ് കൂടുതൽ ശക്തിയായി ഇല്ലാതാക്കിയാൽ സഹായിക്കാത്തത്.

ഏത് സ്റ്റോർ ഇപ്പോഴും അത് സൂക്ഷിക്കുന്നു എന്ന് കണ്ടെത്തുക

ആളുകൾ ക്രമീകരണങ്ങൾ ആപ്പിൽ നിന്ന് തുടങ്ങുന്നു, സർട്ടിഫിക്കറ്റ് സംഭരിക്കാത്ത ഒരേയൊരു സ്ഥലം അതാണ്. യഥാർത്ഥ സ്ഥലങ്ങൾ OS-ന്റെ ട്രസ്റ്റ് സ്റ്റോറുകൾ, ബ്രൗസറിന്റെ സ്വന്തം സ്റ്റോർ, ആപ്പിന്റെ സ്വകാര്യ സ്റ്റോർ എന്നിവയാണ്.

സീരിയൽ നമ്പറോ ഫിംഗർപ്രിന്റോ ഉപയോഗിച്ച് പൊരുത്തപ്പെടുത്തുക, ഒരിക്കലും ഡിസ്പ്ലേ നാമം ഉപയോഗിച്ച് അല്ല. ഡിസ്പ്ലേ നാമങ്ങൾ സർട്ടിഫിക്കറ്റ് നൽകിയയാൾ നിശ്ചയിക്കുന്നു, അവ വീണ്ടും ഉപയോഗിക്കുന്നു: 'Example VPN' മൂന്ന് വ്യത്യസ്ത കീകളുള്ള മൂന്ന് സർട്ടിഫിക്കറ്റുകളാകാം, ഒന്ന് ഇപ്പോഴും ദൈനംദിന ഉപയോഗത്തിലുണ്ട്.

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

macOS-ൽ security ഉപകരണം അതേ വസ്തുതകൾ നൽകുന്നു, ഒപ്പം find-identity ഏത് സർട്ടിഫിക്കറ്റുകൾക്ക് ഇപ്പോഴും സ്വകാര്യ കീ ഘടിപ്പിച്ചിട്ടുണ്ട് എന്ന് കാണിക്കുന്നു:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

ഇടുങ്ങിയ വസ്തു ഇല്ലാതാക്കുക, പങ്കിട്ട ഇഷ്യൂവർ നിലനിർത്തുക

ഇല്ലാതാക്കുന്നതിന് മുമ്പ് എക്സ്പോർട്ട് ചെയ്യുക. ബാക്കപ്പ് ഇല്ലാതെ ഏക പുനഃസ്ഥാപനം പുനർ-ഇഷ്യു ചെയ്യലാണ്, ഒരു സ്വകാര്യ CA-യിൽ അത് PKI നടത്തുന്നയാളുടെ അടുത്തേക്ക് മടങ്ങുക എന്നാണർത്ഥം. എക്സ്പോർട്ട് ചെയ്ത PFX കൂടി നീക്കം ചെയ്യൽ തെറ്റായ തീരുമാനമാണെന്ന് തെളിഞ്ഞാൽ നിങ്ങൾ കൈമാറുന്ന വസ്തുവാണ്.

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

ഈ -user ഫ്ലാഗ് ആളുകൾ അബദ്ധത്തിൽ വിട്ടുകളയുന്നതാണ്. അതില്ലാതെ certutil മെഷീൻ സ്റ്റോറിൽ പ്രവർത്തിക്കുന്നു, അതായത് ഉയർത്തിയ ഷെൽ, വേറെ സർട്ടിഫിക്കറ്റ് സെറ്റ്, ഇപ്പോൾ മെഷീനിലെ മറ്റെല്ലാ അക്കൗണ്ടുകളെയും ഉൾക്കൊള്ളുന്ന സ്വാധീന വ്യാസം.

macOS, Linux എന്നിവയിൽ രൂപം ഒന്നുതന്നെ: തിരിച്ചറിയുക, എക്സ്പോർട്ട് ചെയ്യുക, തുടർന്ന് ലക്ഷണം വിശദീകരിക്കുന്ന ഏറ്റവും ഇടുങ്ങിയ സ്റ്റോറിൽ നിന്ന് നീക്കം ചെയ്യുക. /usr/local/share/ca-certificates എന്നതിന് കീഴിലുള്ള ഫയൽ നീക്കം ചെയ്യുന്നതും update-ca-certificates വീണ്ടും പ്രവർത്തിപ്പിക്കുന്നതും മതി; --fresh ഇത് /etc/ssl/certs ലെ സിംബോളിക് ലിങ്കുകൾ ഇതിനകം പൊരുത്തക്കേടുള്ളവയാകുമ്പോൾ മാത്രം സഹായിക്കുന്നു. RHEL കുടുംബ സിസ്റ്റങ്ങൾ ആങ്കറുകൾ /etc/pki/ca-trust/source/anchors ൽ സൂക്ഷിക്കുന്നു, അവിടെ trust anchor --remove അതേ ജോലി ചെയ്യുന്നു.

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

CA സർട്ടിഫിക്കറ്റ് ഇല്ലാതാക്കുന്നതിന് മുമ്പ് അതിലേക്ക് മറ്റെന്ത് ചെയിൻ ചെയ്യുന്നു എന്ന് പരിശോധിക്കുക. ബണ്ടിലിലെ വിഷയങ്ങൾ ലിസ്റ്റ് ചെയ്യുന്നത് രണ്ട് വരി പരിശോധനയാണ്, ആ ആങ്കർ മറ്റെന്തെങ്കിലും ജോലി ചെയ്യുന്നുണ്ടോ എന്ന് അത് ഉത്തരം നൽകുന്നു:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

ഫയൽ ഇല്ലാതാക്കുന്നത് ഐഡന്റിറ്റി റദ്ദാക്കലല്ല

പ്രാദേശിക ഇല്ലാതാക്കൽ ഒരു പകർപ്പ് നീക്കം ചെയ്യുന്നു. സ്വകാര്യ കീ ഇപ്പോഴും പഴയ ടിക്കറ്റിൽ ഘടിപ്പിച്ച p12-ലോ ബാക്കപ്പ് ഫോൾഡറിലോ അതേ സമയം സജ്ജീകരിച്ച രണ്ടാമത്തെ ലാപ്ടോപ്പിലോ ആകാം. ഇത് ക്ലയന്റ് ഐഡന്റിറ്റിയായിരുന്നെങ്കിൽ, സർവർ വശത്ത് ഐഡന്റിറ്റി നിരസിക്കുന്നതുവരെ ആ കീയുടെ ഏത് പകർപ്പും ഗേറ്റ്വേ സ്വീകരിച്ചുകൊണ്ടിരിക്കും.

ഒരു OpenVPN PKI-യ്ക്ക് ഇത് സർട്ടിഫിക്കറ്റ് റദ്ദാക്കുന്നതും crl-verify സൂചിപ്പിക്കുന്ന CRL നിലവിലുണ്ടെന്ന് ഉറപ്പാക്കുന്നതും അർത്ഥമാക്കുന്നു; easyrsa revoke തുടർന്ന് easyrsa gen-crl ചുരുങ്ങിയ പതിപ്പാണ്. ഐഡന്റിറ്റി പ്രൊവൈഡറുമായി ബന്ധിപ്പിച്ച ഗേറ്റ്വേയ്ക്ക്, അവിടെ ഉപയോക്താവിനെ പ്രവർത്തനരഹിതമാക്കുക അല്ലെങ്കിൽ ഉപകരണം നീക്കം ചെയ്യുക, കാരണം ആട്ടത്തിലുള്ള ഒരു ക്രെഡൻഷ്യൽ മാത്രമാണ് സർട്ടിഫിക്കറ്റ്. അക്കൗണ്ട് സജീവമായിരിക്കെ പ്രാദേശിക പകർപ്പ് ഇല്ലാതാക്കുന്നത് വൃത്തിയാക്കലായി തോന്നും, അതല്ല.

സംഭവ പ്രവർത്തനത്തിന് വേറെ ക്രമമുണ്ട്: ആദ്യം സർട്ടിഫിക്കറ്റ്, അതിന്റെ സീരിയൽ നമ്പർ, റദ്ദാക്കൽ രേഖ എന്നിവ സംരക്ഷിക്കുക, പിന്നീട് ഇല്ലാതാക്കുകയും റദ്ദാക്കുകയും ചെയ്യുക. ആ രേഖകൾക്ക് ചെലവില്ല, പ്രവർത്തിക്കുന്ന ക്രെഡൻഷ്യൽ അവിടെ വിടേണ്ടതില്ല.

ഹാൻഡ്ഷേക്കും രണ്ടാമത്തെ ആപ്പും ഉപയോഗിച്ച് പരിശോധിക്കുക

ചെയിൻ പുറത്തുനിന്ന് പരിശോധിക്കുക, നിങ്ങൾ ഇപ്പോൾ എഡിറ്റ് ചെയ്ത സ്റ്റോർ ലിസ്റ്റിൽ നിന്നല്ല. സ്റ്റോർ നിങ്ങളുടെ എഡിറ്റ് കാണിക്കുന്നു; ഹാൻഡ്ഷേക്ക് ഫലം കാണിക്കുന്നു.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

0 എന്ന റിട്ടേൺ കോഡ് അർത്ഥമാക്കുന്നത് ശേഷിക്കുന്ന ആങ്കറുകൾ ഗേറ്റ്വേയെ ഇപ്പോഴും സാധൂകരിക്കുന്നു എന്നാണ്. ആങ്കർ നീക്കിയതിന് ശേഷമുള്ള ചെയിൻ പിശക് പ്രതീക്ഷിത ഫലമാണ്, ഉപയോഗത്തിലുള്ള ആങ്കറിലാണ് നിങ്ങൾ കൊള്ളിയത്, ക്ലയന്റ് ഒരിക്കലും വായിക്കാത്ത സ്റ്റോറിലെ ഒരു പകർപ്പിലല്ല എന്ന് അത് സ്ഥിരീകരിക്കുന്നു. കണക്ഷൻ ഇപ്പോഴും പ്രവർത്തിക്കുന്നെങ്കിൽ, രണ്ടാമത്തെ പകർപ്പോ ആപ്പിൽ ഉൾച്ചേർത്ത സ്റ്റോറോ പിൻ ചെയ്ത സർട്ടിഫിക്കറ്റോ തിരയുക, ഇവയെല്ലാം സ്വന്തം വിശ്വാസ പട്ടിക കൊണ്ടുവരുന്ന ക്ലയന്റുകളിൽ സാധാരണമാണ്.

പിന്നീട് ബന്ധമില്ലാത്ത എന്തെങ്കിലും പരീക്ഷിക്കുക: ഒരു ആന്തരിക സൈറ്റ്, മെയിൽ ക്ലയന്റ്, പാക്കേജ് മിറർ. മാറ്റ വിൻഡോ അടയുന്നതിന് മുമ്പ് സ്വാധീന വ്യാസം വിലകുറഞ്ഞ രീതിയിൽ അത് അളക്കുന്നു.

• പങ്ക് ഐഡന്റിറ്റി, ഇന്റർമീഡിയറ്റ് അല്ലെങ്കിൽ ട്രസ്റ്റ് ആങ്കർ എന്ന് തിരിച്ചറിഞ്ഞു
• സീരിയൽ നമ്പറും ഫിംഗർപ്രിന്റും രേഖപ്പെടുത്തി, പകർപ്പ് അനുവദിച്ച സ്ഥലത്തേക്ക് എക്സ്പോർട്ട് ചെയ്തു
• ലക്ഷണം വിശദീകരിക്കുന്ന ഏറ്റവും ഇടുങ്ങിയ പരിധിയിൽ ഇല്ലാതാക്കൽ നടത്തി
• വ്യക്തിയോ ഉപകരണമോ പോയപ്പോൾ സർവർ വശത്തെ അംഗീകാരം റദ്ദാക്കി
• ഹാൻഡ്ഷേക്ക് വിശദീകരിച്ചു, ബന്ധമില്ലാത്ത ഒരു ആപ്പ് വീണ്ടും പരീക്ഷിച്ചു
• MDM പേലോഡോ മാനേജ്മെന്റ് പ്രൊഫൈലോ അപ്ഡേറ്റ് ചെയ്തു, അല്ലെങ്കിൽ സർട്ടിഫിക്കറ്റ് തിരികെ വരും

റീബൂട്ടിന് ശേഷം സർട്ടിഫിക്കറ്റ് തിരികെ വന്നിട്ടുണ്ടെങ്കിൽ, ജോലി തീർന്നിട്ടില്ല: എന്തോ അതിനെ സ്വന്തമാക്കി വീണ്ടും ഇൻസ്റ്റാൾ ചെയ്യുന്നു. വീണ്ടും ഇല്ലാതാക്കുന്നതിന് മുമ്പ് ആ ഉടമയെ കണ്ടെത്തുക, കാരണം മൂന്നാമത്തെ ഇല്ലാതാക്കലും ആദ്യ രണ്ടെണ്ണം പോലെത്തന്നെ പെരുമാറും.