अतिरिक्त रूट प्रमाणपत्र कोणत्या सत्यापनकर्त्यांवर परिणाम करते?

तुम्हाला असा रूट प्रमाणपत्र सापडते जे तिथे नसावे, आणि पहिला प्रश्न असा आहे की ते कोणाची ओळख बनवू शकते. प्रामाणिक उत्तर यावर अवलंबून आहे की कोणते सॉफ्टवेअर त्या स्टोअरचा सल्ला घेते आणि तुमचे VPN आपल्या गेटवेची पडताळणी कशी करते. ब्राउझर, पॅकेज व्यवस्थापक आणि पिन केलेल्या फिंगरप्रिंटसह VPN क्लायंट एकच विश्वास निर्णय सामायिक करतीलच असे नाही. व्याप्ती ठरवण्यापूर्वी सत्यापनकर्त्यांचे नकाशे तयार करा.

सिस्टम स्टोअरमधील रूट ही सार्वत्रिक किल्ली नाही

रूट स्थापित केल्याने त्या किल्लीने स्वाक्षरी केलेली प्रमाणपत्रे प्रभावित स्टोअर वापरणाऱ्या प्रोग्रामांसाठी स्वीकारार्ह होतात. ते त्यांना स्वयंचलितपणे सर्वत्र स्वीकारार्ह करत नाही, कारण काही अनुप्रयोग स्वतःचे बंडल आणतात किंवा पिन केलेले मूल्य तपासतात. हे हे देखील सिद्ध करत नाही की कोणी मशीनवर कोड चालवला; विश्वास बदलणे ही अनेक क्षमतांपैकी एक आहे. प्रमाणपत्राकडे संपूर्ण घटना म्हणून नाही, तर व्याप्ती ठरवावयाच्या शोध म्हणून पहा.

स्टोअर प्रमाणपत्राइतकेच महत्त्वाचे आहे: वापरकर्ता-स्तरीय बंडल आणि सिस्टम-व्यापी अँकर वेगवेगळ्या ग्राहकांपर्यंत पोहोचतात.

प्रत्येक सत्यापनकर्ता आणि त्याच्या विश्वास स्रोताचे नकाशे तयार करा

प्रभावित कार्यप्रवाहांसाठी प्रमाणपत्रे सत्यापित करणारा प्रत्येक घटक लिहा: ब्राउझर, पॅकेज व्यवस्थापक, मेल क्लायंट, VPN. नंतर प्रत्येकजण वाचतो तो विश्वास स्रोत शोधा.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

डिरेक्टरी सूची Debian-शैलीच्या सिस्टमवर स्थानिकरीत्या जोडलेले अँकर दाखवते, आणि विश्वास सूची सिस्टम स्टोअर सध्या काय उघड करते ते दाखवते. स्वतःचे स्टोअर असलेला ब्राउझर तिथे दिसणार नाही, आणि Java किंवा Python अनुप्रयोग दुसरे बंडल वापरू शकतो. कोणत्या नोंदी अपेक्षित आहेत आणि कोणत्या नाहीत हे केवळ दर्शविलेल्या नावाऐवजी फिंगरप्रिंट वापरून नोंदवा. काहीही हटवण्यापूर्वी घटना प्रतिसादकर्त्याला हीच यादी आवश्यक असते.

VPN ची स्वतःची पीअर पडताळणी तपासा

VPN ज्यात खाजगी CA किंवा स्पष्ट फिंगरप्रिंट आहे, ते गेटवेचे मूल्यांकन स्वतःच्या संरचनेनुसार करते. क्लायंट काय अपेक्षितो आणि गेटवे काय सादर करते याची तुलना करा.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

आउटपुट एंडपॉइंट सादर करत असलेल्या प्रमाणपत्राचे SHA-256 फिंगरप्रिंट आणि विषय देते, ज्यांची तुम्ही संरचित मूल्याशी तुलना करू शकता. OpenVPN मध्ये पीअर-फिंगरप्रिंट पर्याय आहे जो सिस्टम स्टोअरला स्वाक्षरीकर्ता स्वीकारण्याची गरज न देता बोगद्यासाठी ती तुलना करतो. हे स्वातंत्र्य बोगद्यासाठी उपयुक्त आहे आणि ब्राउझरबद्दल काहीही सांगत नाही. अपेक्षित फिंगरप्रिंट सुरुवातीलाच संशयास्पद कनेक्शनमधून कॉपी केलेले असेल तर याचीही मदत होत नाही.

प्रमाणपत्राच्या पलीकडे घटनेची व्याप्ती ठरवा

अनधिकृत अँकर काढण्यासाठी आणि सहसा त्यांच्यासोबत येणारे बदल शोधण्यासाठी डिव्हाइस मालकाची प्रक्रिया वापरा: नवीन सेवा, सुधारित क्लायंट, बदललेली प्रॉक्सी सेटिंग्ज. व्यवस्थापित मशीनवर, इतर सॉफ्टवेअर अवलंबून असलेली सामग्री हटवण्यापूर्वी कायदेशीर संरचनेची पुष्टी करा. प्रत्येक सत्यापनकर्त्यासाठी त्याचा विश्वास कुठून येतो, तो कोणत्या ओळखीची अपेक्षा करतो आणि सध्याची संरचना बरोबर आहे हे तुम्ही कसे पुष्टी केले हे नोंदवा. साफसफाईनंतर कार्यरत बोगदा हे एक निरीक्षण आहे, एंडपॉइंट स्वच्छ असल्याचा पुरावा नाही.

नंतर स्टोअर वापरणाऱ्या कार्यप्रवाहांची पुन्हा चाचणी करा, कारण अँकर काढल्यास त्यावर कायदेशीरपणे अवलंबून असलेली अंतर्गत सेवा तुटू शकते. अपेक्षित विश्वास संबंध कार्यरत असतील आणि अनपेक्षित नसतील तेव्हा पुनर्प्राप्ती पूर्ण होते.