जुने VPN प्रमाणपत्र ट्रस्ट स्टोअरमधून कसे काढायचे

VPN प्रोफाइल हटवल्यावरही प्रमाणपत्र OS, ब्राउझर किंवा ॲप स्टोअरमध्ये राहते। फिंगरप्रिंटने जुळवा, सर्वात अरुंद प्रत हटवा आणि नंतर साखळी तपासा।

तुमचा VPN क्लायंट अनइंस्टॉल झाला आहे, प्रोफाइल सेटिंग्जमधून गेले आहे आणि तरीही बोगदा जुन्या क्रेडेन्शियल्ससह उभा राहतो। किंवा तुम्ही ते हटवता, रीबूट करता आणि पुढच्या सकाळी ते परत आलेले दिसते। यापैकी काहीही बिघडलेले डिलीट बटण नाही। प्रोफाइल म्हणजे कॉन्फिगरेशन; प्रमाणपत्र म्हणजे की मटेरियल आणि प्रोफाइल ज्या स्टोअरकडे फक्त निर्देश करते तिथे नोंदवलेला विश्वासाचा निर्णय। तुमच्या हातात यापैकी कोणते आहे यावरच 'काढणे' याचा अर्थ ठरतो।

प्रोफाइल म्हणजे प्रमाणपत्र नाही

VPN सेटअपमध्ये तीन वेगवेगळ्या वस्तूंना 'प्रमाणपत्र' म्हटले जाते। क्लायंट ओळख म्हणजे खाजगी की असलेले लीफ प्रमाणपत्र, आणि गेटवे त्यावरून तुम्ही कोण आहात हे ठरवतो। सर्व्हरचे स्वतःचे लीफ आणि त्याचे इंटरमीडिएट हे तुमचा क्लायंट कनेक्ट होताना तपासतो। ट्रस्ट अँकर, सहसा रूट किंवा खाजगी CA प्रमाणपत्र, तोच साखळी तपासण्यायोग्य बनवतो। RFC 5280 हे सर्व ट्रस्ट अँकर, इंटरमीडिएट आणि एंड एंटिटी असे म्हणते, आणि प्रत्येक कडी खालच्या कडीवर स्वाक्षरी करत असेल तोपर्यंतच साखळी वैध ठरते।

ओळख हटवा आणि एक उपकरण प्रवेश गमावते। अँकर हटवा आणि त्या स्टोअरविरुद्ध पडताळणी करणारा प्रत्येक अनुप्रयोग त्याखाली जारी केलेल्या कोणत्याही गोष्टीची तपासणी करण्याची क्षमता गमावतो, यात VPN शी काहीही संबंध नसलेल्या कनेक्शनचाही समावेश आहे। ही विषमता इथली संपूर्ण जोखीम आहे: एका गेटवेसाठी बसवलेले रूट अनेकदा अंतर्गत पोर्टल, मेल सर्व्हर किंवा पॅकेज मिररवर स्वाक्षरी करणारे तेच रूट असते। या दोनपैकी कोणते तुमच्याकडे आहे हे लक्षात ठेवा।

मालकी ठरवते की हटवणे हटवलेलेच राहते का। तुमच्या स्वतःच्या लॅपटॉपवर प्रमाणपत्र परत आणणारे तुम्ही एकटेच आहात। व्यवस्थापित उपकरणावर कॉन्फिगरेशन प्रोफाइल किंवा MDM पेलोड पुढील चेक-इनला ते पुन्हा बसवू शकते, म्हणूनच ते 'परत येते' आणि म्हणूनच जोरात हटवण्याने उपयोग होत नाही।

ते अजून कोणत्या स्टोअरमध्ये आहे ते शोधा

लोक सेटिंग्ज ॲपमध्ये सुरुवात करतात, जे प्रमाणपत्र न ठेवलेले एकमेव ठिकाण आहे। खरी ठिकाणे म्हणजे OS ट्रस्ट स्टोअर, ब्राउझरचे स्वतःचे स्टोअर आणि अनुप्रयोगाचे खाजगी स्टोअर।

StoreWhat deleting from it affects
Windows CurrentUser\Myyour login session only
Windows LocalMachine Rootevery user and service on the machine
macOS login or System keychainone account, or all of them with sudo
Linux ca-certificates bundlecurl, git, Python, anything using the system bundle
Firefox cert9.dbFirefox only; it does not read the OS store

सीरियल किंवा फिंगरप्रिंटवर जुळवा, कधीही दर्शनी नावावर नाही। दर्शनी नावे प्रमाणपत्र जारी करणाऱ्याने ठरवलेली असतात आणि पुन्हा वापरली जातात: 'Example VPN' हे तीन वेगळ्या कींसहित तीन प्रमाणपत्रे असू शकतात, त्यापैकी एक अजूनही रोजच्या वापरात आहे।

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

macOS वर security साधन तीच माहिती देते, आणि find-identity कोणत्या प्रमाणपत्रांना अजूनही खाजगी की जोडलेली आहे ते दाखवते:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

अरुंद वस्तू हटवा, सामायिक जारीकर्ता ठेवा

हटवण्यापूर्वी निर्यात करा। बॅकअप नसेल तर एकमेव उपाय पुन्हा जारी करणे, ज्याचा खाजगी CA वर अर्थ PKI चालवणाऱ्याकडे परत जाणे। निर्यात केलेले PFX हेच तुम्ही सुपूर्द करता जर काढणे चुकीचा निर्णय ठरला।

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

हे -user फ्लॅग लोक चुकून सोडतात। त्याशिवाय certutil मशीन स्टोअरवर काम करते, म्हणजे एलिव्हेटेड शेल, वेगळा प्रमाणपत्रांचा संच आणि आता मशीनवरील इतर सर्व खात्यांचा समावेश असलेली परिणामव्याप्ती।

macOS आणि Linux वर स्वरूप तेच आहे: ओळखा, निर्यात करा, नंतर लक्षणे समजावून सांगणाऱ्या सर्वात अरुंद स्टोअरमधून काढा। /usr/local/share/ca-certificates अंतर्गतची फाइल हटवणे आणि पुन्हा update-ca-certificates चालवणे पुरेसे आहे; --fresh फक्त तेव्हाच उपयोगी पडते जेव्हा /etc/ssl/certs मधील सिमलिंक्स आधीच विसंगत असतात। RHEL कुलातील प्रणाली अँकर /etc/pki/ca-trust/source/anchors मध्ये ठेवतात, जिथे trust anchor --remove तेच काम करते।

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

CA प्रमाणपत्र हटवण्यापूर्वी त्याच्याशी आणखी काय जोडले जाते ते तपासा। बंडलमधील विषयांची यादी करणे ही दोन ओळींची तपासणी आहे आणि ती सांगते की तो अँकर दुसरे काम करतो का:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

फाइल हटवणे म्हणजे ओळख रद्द करणे नाही

स्थानिक हटवणे एक प्रत काढते। खाजगी की जुन्या तिकिटाला जोडलेल्या p12 मध्ये, बॅकअप फोल्डरमध्ये किंवा त्याच वेळी सेट केलेल्या दुसऱ्या लॅपटॉपवर अजूनही असू शकते। जर ही क्लायंट ओळख असेल, तर ओळख सर्व्हरकडून नाकारली जाईपर्यंत गेटवे त्या कीची कोणतीही प्रत स्वीकारत राहतो।

एका OpenVPN PKI साठी याचा अर्थ प्रमाणपत्र रद्द करणे आणि crl-verify ने संदर्भित CRL चालू असल्याची खात्री करणे; easyrsa revoke नंतर easyrsa gen-crl हे थोडक्यात उत्तर आहे। ओळख प्रदात्याशी जोडलेल्या गेटवेसाठी तिथे वापरकर्ता अक्षम करा किंवा उपकरण काढा, कारण प्रमाणपत्र हे आट्यातील फक्त एक क्रेडेन्शियल आहे। खाते सक्रिय असताना स्थानिक प्रत हटवणे हे स्वच्छतेसारखे दिसते आणि ते नाही।

घटनेच्या कामाचा क्रम वेगळा असतो: आधी प्रमाणपत्र, त्याचा सीरियल आणि रद्दीकरणाची नोंद जपून ठेवा, नंतर हटवा आणि रद्द करा। त्या नोंदींना काहीच खर्च नाही आणि त्यासाठी कार्यरत क्रेडेन्शियल जागेवर ठेवण्याची गरज नाही।

हँडशेक आणि दुसऱ्या ॲपने पडताळणी करा

साखळी बाहेरून तपासा, नुकत्याच संपादित केलेल्या स्टोअर सूचीमधून नाही। स्टोअर तुमचा बदल दाखवते; हँडशेक निकाल दाखवतो।

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

परतावा कोड 0 म्हणजे उर्वरित अँकर अजूनही गेटवेची पडताळणी करतात। अँकर काढल्यानंतर साखळीतील त्रुटी ही अपेक्षित परिणाम आहे आणि ती पुष्टी करते की तुम्ही वापरात असलेल्या अँकरवर आदळलात, क्लायंट कधीही न वाचणाऱ्या स्टोअरमधील प्रतीवर नाही। जर कनेक्शन अजूनही चालत असेल, तर दुसरी प्रत, ॲपमध्ये अंतर्भूत स्टोअर किंवा पिन केलेले प्रमाणपत्र शोधा; हे सर्व स्वतःची ट्रस्ट यादी बाळगणाऱ्या क्लायंटमध्ये सामान्य आहेत।

मग असंबंधित काहीतरी तपासा: अंतर्गत साइट, मेल क्लायंट, पॅकेज मिरर। हे बदलाची खिडकी बंद होण्यापूर्वी परिणामव्याप्ती स्वस्तात मोजते।

  • ओळख, इंटरमीडिएट किंवा ट्रस्ट अँकर म्हणून भूमिका निश्चित केली
  • सीरियल आणि फिंगरप्रिंट नोंदवले, आणि प्रत मंजूर ठिकाणी निर्यात केली
  • लक्षणे समजावून सांगणाऱ्या सर्वात अरुंद व्याप्तीत हटवणे पूर्ण केले
  • व्यक्ती किंवा उपकरण गेल्यावर सर्व्हरकडील अधिकृतता रद्द केली
  • हँडशेक समजावून सांगितला, आणि एक असंबंधित ॲप पुन्हा तपासले
  • MDM पेलोड किंवा व्यवस्थापन प्रोफाइल अद्ययावत केले, नाहीतर प्रमाणपत्र परत येते

रीबूटनंतर प्रमाणपत्र परत आले असेल, तर काम संपलेले नाही: काहीतरी त्याचे मालक आहे आणि ते पुन्हा बसवते। पुन्हा हटवण्यापूर्वी तो मालक शोधा, कारण तिसरे हटवणे पहिल्या दोनसारखेच वागेल।

संबंधित लेख