Хуучирсан VPN гэрчилгээг итгэлцлийн сангаас хэрхэн устгах вэ

Таны VPN клиент устгагдсан, профайл Тохиргооноос алга болсон ч туннель хуучин итгэмжлэлээр боссоор байна. Эсвэл устгаад, дахин асаагаад, дараагийн өглөө буцаж олно. Аль нь ч эвдэрсэн устгах товч биш. Профайл бол тохиргоо; гэрчилгээ бол түлхүүрийн материал ба профайл зөвхөн зааж буй санд бүртгэгдсэн итгэлцлийн шийдвэр юм. Эдгээрийн алийг нь барьж байгаа нь 'устгах' гэж юу гэсэн үг болохыг тодорхойлно.

Профайл бол гэрчилгээ биш

VPN-ийн тохиргоонд гурван өөр объектыг 'гэрчилгээ' гэж нэрлэдэг. Клиентийн таних тэмдэг нь хувийн түлхүүртэй төгсгөлийн гэрчилгээ бөгөөд гарц үүгээр таныг хэн болохыг шийддэг. Серверийн өөрийн төгсгөлийн гэрчилгээ болон түүний завсрын гэрчилгээ нь таны клиент холбогдох үед шалгадаг зүйл юм. Итгэлцлийн зангуу, ихэвчлэн үндсэн эсвэл хувийн CA гэрчилгээ, гинжийг огт шалгах боломжтой болгодог. RFC 5280 эдгээрийг итгэлцлийн зангуу, завсрын гэрчилгээ, эцсийн этгээд гэж нэрлэдэг бөгөөд гинж нь зөвхөн холбоос бүр доорхыг нь гарын үсэг зурж байх хугацаанд хүчинтэй.

Таних тэмдгийг устгахад нэг төхөөрөмж хандалтаа алдана. Зангууг устгахад тэр санд итгэлцэж шалгадаг бүх аппликейшн түүний дор олгогдсон бүхнийг шалгах чадвараа алдана, VPN-тэй ямар ч холбоогүй холболтыг оролцуулан. Энэхүү тэгш бус байдал нь энд байгаа бүх эрсдэл: нэг гарцад суулгасан үндэс нь ихэвчлэн дотоод портал, имэйл сервер эсвэл багцын тольд гарын үсэг зурдаг ижил үндэс юм. Хоёрын алийг нь барьж байгаагаа санаарай.

Эзэмшил нь устгал устгагдсан хэвээр үлдэх эсэхийг шийддэг. Өөрийн эзэмшлийн зөөврийн компьютер дээр гэрчилгээг зөвхөн та буцааж тавьж чадна. Удирддаг төхөөрөмж дээр тохиргооны профайл эсвэл MDM ачаалал дараагийн шалгалтад дахин суулгаж болох тул 'буцаж ирдэг' бөгөөд илүү хүчтэй устгах нь тус болохгүй.

Аль сан үүнийг одоо ч хадгалж байгааг олж мэдээрэй

Хүмүүс Тохиргоо аппаас эхэлдэг бөгөөд гэрчилгээ хадгалагддаггүй цорын ганц газар нь тэр. Жинхэнэ байршил нь OS-ийн итгэлцлийн сангууд, хөтчийн өөрийн сан, аппликейшны хувийн сан юм.

Серийн дугаар эсвэл хурууны хээгээр тааруул, хэзээ ч дэлгэцийн нэрээр биш. Дэлгэцийн нэрийг гэрчилгээ олгосон хүн тогтоодог бөгөөд тэдгээрийг дахин ашигладаг: 'Example VPN' нь гурван өөр түлхүүртэй гурван гэрчилгээ байж болох бөгөөд нэг нь өдөр тутмын хэрэглээнд байсаар байна.

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

macOS дээр security хэрэгсэл ижил баримтуудыг өгдөг бөгөөд find-identity аль гэрчилгээнд хувийн түлхүүр хавсаргасан хэвээр байгааг харуулна:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

Нарийн объектыг устгаж, хуваалцсан олгогчийг үлдээ

Устгахаас өмнө экспортлоорой. Нөөц хуулбаргүй бол цорын ганц сэргээлт нь дахин олгох юм, энэ нь хувийн CA дээр PKI-г удирддаг хүн рүү буцахыг хэлнэ. Экспортолсон PFX нь устгал буруу шийдвэр болж таарвал хүлээлгэн өгөх зүйл ч мөн.

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

Энэ -user тугийг хүмүүс санамсаргүй орхидог. Үүнгүйгээр certutil машины санд ажилладаг бөгөөд энэ нь өргөгдсөн shell, өөр гэрчилгээний багц, одоо машины бусад бүх бүртгэлийг хамарсан нөлөөллийн радиусыг илэрхийлнэ.

macOS болон Linux дээр хэлбэр ижил: тодорхойлж, экспортлоод, шинж тэмдгийг тайлбарладаг хамгийн нарийн сангаас устгана. /usr/local/share/ca-certificates -ийн доорх файлыг устгаж, update-ca-certificates -г дахин ажиллуулахад хангалттай; --fresh зөвхөн /etc/ssl/certs -ийн симбол холбоосууд аль хэдийн зөрчилтэй үед л тусална. RHEL гэр бүлийн системүүд зангууг /etc/pki/ca-trust/source/anchors-д хадгалдаг бөгөөд тэнд trust anchor --remove ижил ажлыг гүйцэтгэдэг.

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

CA гэрчилгээг устгахын өмнө түүн рүү өөр юу гинжилж байгааг шалгаарай. Багц доторх субъектуудыг жагсаах нь хоёр мөрийн шалгалт бөгөөд тэр зангуу өөр ажил хийж байгаа эсэхэд хариулдаг:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

Файлыг устгах нь таних тэмдгийг хүчингүй болгох биш

Локал устгал нэг хуулбарыг арилгана. Хувийн түлхүүр нь хуучин тасалбарт хавсаргасан p12-д, нөөц фолдерт эсвэл зэрэг тохируулсан хоёр дахь зөөврийн компьютерт байсаар байж болно. Хэрэв энэ нь клиентийн таних тэмдэг байсан бол гарц серверийн талд татгалзах хүртэл тэр түлхүүрийн аль ч хуулбарыг хүлээн авсаар байна.

Нэг OpenVPN PKI-д энэ нь гэрчилгээг хүчингүй болгож, crl-verify -ийн дурдсан CRL-ийг одоогийн байлгахыг хэлнэ; easyrsa revoke дараа нь easyrsa gen-crl богино хувилбар. Таних тэмдгийн нийлүүлэгчтэй холбогдсон гарцад тэнд хэрэглэгчийг идэвхгүй болгох эсвэл төхөөрөмжийг хасах хэрэгтэй, учир нь гэрчилгээ бол тоглоомд байгаа нэг л итгэмжлэл. Бүртгэл идэвхтэй байхад локал хуулбарыг устгах нь цэвэрлэгээ мэт харагдана, гэхдээ тийм биш.

Ослын ажил өөр дараалалтай: эхлээд гэрчилгээ, түүний серийн дугаар, хүчингүй болгох бүртгэлийг хадгалаад, дараа нь устгаж, хүчингүй болгоно. Тэдгээр бүртгэл юу ч үнэгүй бөгөөд ажиллаж буй итгэмжлэлийг байранд нь үлдээх шаардлагагүй.

Гарын барилт болон хоёр дахь аппаар шалгана уу

Гинжийг гаднаас шалга, саяхан зассан сангийн жагсаалтаас биш. Сан таны засварыг харуулна; гарын барилт үр дүнг харуулна.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

0 буцаах код нь үлдсэн зангуу гарцыг одоо ч баталгаажуулж байгааг илэрхийлнэ. Зангууг устгасны дараах гинжин алдаа нь хүлээгдэж буй үр дүн бөгөөд та ашиглагдаж буй зангууг оносон, клиент хэзээ ч уншдаггүй сан дахь хуулбарыг оноогүй гэдгийг батална. Холболт одоо ч ажиллаж байвал хоёр дахь хуулбар, апп-д суулгасан сан эсвэл бэхэлсэн гэрчилгээг хай, эдгээр нь өөрийн итгэлцлийн жагсаалтыг авчирдаг клиентүүдэд түгээмэл.

Дараа нь хамааралгүй зүйлийг туршаад үз: дотоод сайт, имэйл клиент, багцын толь. Энэ нь өөрчлөлтийн цонх хаагдахаас өмнө нөлөөллийн радиусыг хямд хэмждэг.

• Үүрэг нь таних тэмдэг, завсрын гэрчилгээ эсвэл итгэлцлийн зангуу гэж тодорхойлогдсон
• Серийн дугаар, хурууны хээ бүртгэгдэж, хуулбар нь зөвшөөрөгдсөн газарт экспортлогдсон
• Устгал нь шинж тэмдгийг тайлбарладаг хамгийн нарийн хүрээнд хийгдсэн
• Хүн эсвэл төхөөрөмж гарсан үед серверийн талын зөвшөөрөл хүчингүй болсон
• Гарын барилт тайлбарлагдаж, нэг хамааралгүй апп дахин туршигдсан
• MDM ачаалал эсвэл удирдлагын профайл шинэчлэгдсэн, эс бөгөөс гэрчилгээ буцаж ирнэ

Хэрэв гэрчилгээ дахин асаасны дараа буцаж ирсэн бол ажил дуусаагүй: ямар нэг зүйл үүнийг эзэмшиж, дахин суулгадаг. Дахин устгахаас өмнө тэр эзнийг олоорой, учир нь гурав дахь устгал эхний хоёртой яг адил ажиллана.