Liema validaturi jaffettwa ċertifikat tal-għerq żejjed?

Taqbad ċertifikat tal-għerq li ma għandux ikun hemm, u l-ewwel mistoqsija hija ta' min huwa l-identità li jista' jwettaq. It-tweġiba onesta tiddependi minn liema software jikkonsulta dak il-maħżen u kif il-VPN tiegħek jivverifika l-gateway tiegħu. Browser, maniġer tal-pakketti u klijent tal-VPN b'marka tas-swaba' ippinnjata mhux bilfors jaqsmu l-istess deċiżjoni ta' fiduċja. Iċċekken il-validaturi qabel ma tiddeċiedi l-ambitu.

Għerq fil-maħżen tas-sistema mhuwiex ċavetta universali

Li tinstalla għerq jagħmel iċ-ċertifikati ffirmati b'dik iċ-ċavetta aċċettabbli għall-programmi li jużaw il-maħżen affettwat. Dan ma jagħmilhomx aċċettabbli awtomatikament kullimkien, għax xi applikazzjonijiet iġibu l-bundle tagħhom stess jew jiċċekkjaw valur ippinnjat. Lanqas ma jipprova li xi ħadd mexxa kodi fuq il-magna; bidla fil-fiduċja hija kapaċità waħda fost diversi. Ittratta ċ-ċertifikat bħala sejba li għandha tiġi limitata, mhux bħala l-inċident kollu.

Il-maħżen huwa importanti daqs iċ-ċertifikat: bundle fil-livell tal-utent u ankra fil-livell tas-sistema jaslu għand konsumaturi differenti.

Iċċekken kull validatur u s-sors ta' fiduċja tiegħu

Ikteb kull komponent li jivvalida ċ-ċertifikati għall-flussi tax-xogħol affettwati: browser, maniġer tal-pakketti, klijent tal-posta, VPN. Imbagħad sib is-sors ta' fiduċja li kull wieħed minnhom jaqra.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Il-lista tad-direttorju turi ankri miżjuda b'mod lokali fuq sistemi stil Debian, u l-lista ta' fiduċja turi x'qed jesponi bħalissa l-maħżen tas-sistema. Browser b'maħżen tiegħu stess mhuwiex se jidher hemm, u applikazzjoni Java jew Python tista' tuża bundle ieħor. Irreġistra liema entrati huma mistennija u liema mhumiex, billi tuża l-marka tas-swaba' u mhux biss l-isem muri. Dik il-lista hija dak li rispons għall-inċident għandu bżonn qabel ma jħassar xi ħaġa.

Iċċekken il-validazzjoni tal-pari tal-VPN innifsu

VPN b'CA privata jew marka tas-swaba' espliċita tevalwa l-gateway skont il-konfigurazzjoni tiegħu stess. Qabbel dak li jistenna l-klijent ma' dak li jippreżenta l-gateway.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Il-ħruġ jagħti l-marka tas-swaba' SHA-256 u s-suġġett taċ-ċertifikat li jippreżenta l-endpoint, li tista' tqabbel mal-valur ikkonfigurat. OpenVPN għandu għażla tal-marka tas-swaba' tal-pari li tagħmel dik il-paragun għat-tunell mingħajr ma tirrikjedi li l-maħżen tas-sistema jaċċetta l-firmatarju. Dik l-indipendenza hija utli għat-tunell u ma tgħid xejn dwar il-browser. Lanqas ma tgħin jekk il-marka tas-swaba' mistennija kienet ikkupjata mill-konnessjoni suspettuża mill-bidu.

Illimita l-inċident lil hinn miċ-ċertifikat

Uża l-proċedura tas-sid tal-apparat biex tneħħi ankri mhux awtorizzati u tfittex il-bidliet li normalment jakkumpanjawhom: servizzi ġodda, klijenti modifikati, issettjar tal-proxy mibdul. Fuq magna ġestita, ikkonferma l-konfigurazzjoni leġittima qabel ma tħassar materjal li jiddependi fuqu software ieħor. Għal kull validatur, irreġistra minn fejn ġejja l-fiduċja tiegħu, liema identità jistenna u kif ikkonfermajt li l-konfigurazzjoni attwali hija korretta. Tunell li jaħdem wara t-tindif hija osservazzjoni waħda, mhux prova li l-endpoint huwa nadif.

Imbagħad erġa' ttestja l-flussi tax-xogħol li użaw il-maħżen, għax it-tneħħija ta' ankra tista' tkisser servizz intern li kien jiddependi fuqha b'mod leġittimu. L-irkupru jispiċċa meta r-relazzjonijiet ta' fiduċja mistennija jaħdmu u dawk mhux mistennija ma jaħdmux.