Pengesah mana yang dipengaruhi sijil akar tambahan?

Anda menemui sijil akar yang sepatutnya tidak ada di situ, dan soalan pertama ialah identiti siapa yang boleh ditiru olehnya. Jawapan jujur bergantung pada perisian mana yang merujuk stor itu dan bagaimana VPN anda mengesahkan gateway-nya. Pelayar, pengurus pakej dan klien VPN dengan cap jari tersemat tidak semestinya berkongsi keputusan kepercayaan yang sama. Petakan pengesah sebelum menentukan skop.

Akar dalam stor sistem bukan kunci universal

Memasang akar menjadikan sijil yang ditandatangani dengan kunci itu boleh diterima oleh program yang menggunakan stor terjejas. Ia tidak menjadikannya boleh diterima di mana-mana secara automatik, kerana sesetengah aplikasi membawa bundel sendiri atau menyemak nilai tersemat. Ia juga tidak membuktikan seseorang telah menjalankan kod pada mesin; perubahan kepercayaan ialah satu daripada beberapa keupayaan. Layan sijil itu sebagai penemuan yang perlu dibataskan, bukan sebagai keseluruhan insiden.

Stor itu sama pentingnya dengan sijil: bundel peringkat pengguna dan sauh peringkat sistem sampai kepada pengguna yang berbeza.

Petakan setiap pengesah dan sumber kepercayaannya

Catat setiap komponen yang mengesahkan sijil untuk aliran kerja terjejas: pelayar, pengurus pakej, klien mel, VPN. Kemudian cari sumber kepercayaan yang dibaca oleh setiap satu.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Penyenaraian direktori menunjukkan sauh yang ditambah secara setempat pada sistem gaya Debian, dan senarai kepercayaan menunjukkan apa yang didedahkan oleh stor sistem pada masa ini. Pelayar dengan stor sendiri tidak akan muncul di situ, dan aplikasi Java atau Python mungkin menggunakan bundel lain. Catat entri mana yang dijangka dan mana yang tidak, menggunakan cap jari dan bukan hanya nama yang dipaparkan. Senarai itulah yang diperlukan oleh responden insiden sebelum memadam apa-apa.

Semak pengesahan rakan sebaya VPN itu sendiri

VPN dengan CA peribadi atau cap jari eksplisit menilai gateway berdasarkan konfigurasinya sendiri. Bandingkan apa yang dijangkakan klien dengan apa yang dikemukakan gateway.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Output memberikan cap jari SHA-256 dan subjek sijil yang dikemukakan oleh titik akhir, yang boleh anda bandingkan dengan nilai yang dikonfigurasikan. OpenVPN mempunyai pilihan cap jari rakan sebaya yang melakukan perbandingan itu untuk terowong tanpa memerlukan stor sistem menerima penandatangan. Kebebasan itu berguna untuk terowong dan tidak mengatakan apa-apa tentang pelayar. Ia juga tidak membantu jika cap jari yang dijangkakan telah disalin daripada sambungan mencurigakan sejak awal.

Bataskan insiden melebihi sijil

Gunakan prosedur pemilik peranti untuk membuang sauh tidak sah dan mencari perubahan yang biasanya menyertainya: perkhidmatan baharu, klien yang diubah suai, tetapan proksi yang diubah. Pada mesin terurus, sahkan konfigurasi sah sebelum memadam bahan yang bergantung padanya perisian lain. Untuk setiap pengesah, catat dari mana kepercayaannya datang, identiti apa yang dijangkakan dan bagaimana anda mengesahkan konfigurasi semasa adalah betul. Terowong yang berfungsi selepas pembersihan ialah satu pemerhatian, bukan bukti bahawa titik akhir itu bersih.

Kemudian uji semula aliran kerja yang menggunakan stor itu, kerana membuang sauh boleh merosakkan perkhidmatan dalaman yang bergantung padanya secara sah. Pemulihan selesai apabila hubungan kepercayaan yang dijangkakan berfungsi dan yang tidak dijangka tidak.