Kif Tneħħi Ċertifikat VPN Antik mill-Maħżen tal-Fiduċja

Il-klijent VPN tiegħek huwa ddiżinstallat, il-profil inqered mis-Settings, u t-tunnel xorta jerfa' bil-kredenzjali qodma. Jew tħassarha, terġa' tagħmel boot, u ssibha lura l-għada filgħodu. Lanqas waħda minnhom mhija buttuna tat-tħassir miksur. Profil huwa konfigurazzjoni; ċertifikat huwa materjal ta' ċavetta flimkien ma' deċiżjoni ta' fiduċja mniżżla f'maħżen li l-profil sempliċement jindika lejh. Liema minnhom qed iżżomm jiddeċiedi x'għandu jfisser 'tneħħi'.

Profil mhuwiex ċertifikat

Tliet oġġetti differenti jissejħu 'iċ-ċertifikat' f'setup VPN. L-identità tal-klijent hija ċertifikat tal-werqa b'ċavetta privata, u l-gateway jużaha biex jiddeċiedi min int. Iċ-ċertifikat tal-werqa tas-server stess u l-intermedjarju tiegħu huma dak li l-klijent tiegħek jivverifika meta jgħaqqad. L-ankra tal-fiduċja, normalment ċertifikat root jew CA privata, hija dak li jagħmel il-katina verifikabbli xejn inqas. RFC 5280 jsejjaħ lil dawn l-ankra tal-fiduċja, l-intermedjarju u l-entità finali, u l-katina tivvalida biss sakemm kull rabta tiffirma dik ta' taħtha.

Ħassar l-identità u apparat wieħed jitlef l-aċċess. Ħassar l-ankra u kull applikazzjoni li tivverifika ma' dak il-maħżen titlef il-ħila li tiċċekkja kwalunkwe ħaġa maħruġa taħtu, inkluż konnessjonijiet li m'għandhom x'jaqsmu xejn mal-VPN. Dik l-asimetrija hija r-riskju kollu hawn: root installat għal gateway wieħed spiss huwa l-istess root li jiffirma portal intern, server tal-posta jew mera tal-pakketti. Ftakar liema miż-żewġ qed iżżomm.

Is-sjieda tiddeċiedi jekk it-tħassir jibqax imħassar. Fuq laptop tiegħek, int l-uniku wieħed li jista' jpoġġi ċ-ċertifikat lura. Fuq apparat ġestit, profil ta' konfigurazzjoni jew payload MDM jistgħu jerġgħu jinstallawh fiċ-check-in li jmiss, u għalhekk 'jerġa' lura' u għalhekk it-tħassir aktar qawwi ma jgħin xejn.

Sib liema maħżen għadu jżommu

In-nies jibdew mill-app Settings, li hija l-unika post fejn ċertifikat mhuwiex maħżun. Il-postijiet veri huma l-maħżen tal-fiduċja tas-sistema, il-maħżen tal-browser stess, u l-maħżen privat tal-applikazzjoni.

Qabbel man-numru tas-serje jew mal-marka tas-swaba', qatt man-nom tal-wiri. In-nomi tal-wiri huma stabbiliti minn min joħroġ iċ-ċertifikat u jerġgħu jintużaw: 'Example VPN' jista' jkun tliet ċertifikati b'tliet ċwievet differenti, wieħed għadu jintuża kuljum.

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

Fuq macOS l-għodda security tagħti l-istess fatti, u find-identity turi liema ċertifikati għadhom ikollhom ċavetta privata marbuta:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

Ħassar l-oġġett dejjaq, żomm il-ħarreġ komuni

Esporta qabel tħassar. Mingħajr backup l-unika rkupru huwa li terġa' toħroġ, li fuq CA privata jfisser li tmur lura għand min imexxi l-PKI. Il-PFX esportat huwa wkoll dak li tgħaddi jekk it-tneħħija tirriżulta deċiżjoni ħażina.

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

Il-flag -user huwa dak li n-nies iħallu barra bl-inċident. Mingħajru, certutil jaħdem fuq il-maħżen tal-magna minflok, li jfisser shell elevat, sett differenti ta' ċertifikati, u raġġ ta' blast li issa jinkludi kull kont ieħor fuq il-magna.

Fuq macOS u Linux il-forma hija l-istess: identifika, esporta, imbagħad neħħi mill-iktar maħżen dejjaq li jispjega s-sintomu. It-tneħħija tal-fajl taħt /usr/local/share/ca-certificates u t-tnedija mill-ġdid ta' update-ca-certificates hija biżżejjed; --fresh tgħin biss meta s-simlinks f' /etc/ssl/certs huma diġà inkonsistenti. Sistemi tal-familja RHEL iżommu l-ankri f' /etc/pki/ca-trust/source/anchors, fejn trust anchor --remove tagħmel l-istess xogħol.

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

Qabel tħassar ċertifikat CA, iċċekkja x'iktar jagħmel katina miegħu. Li telenka s-suġġetti fil-bundle hija verifika ta' żewġ linji u twieġeb jekk dik l-ankra hijiex tagħmel xogħol ieħor:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

It-tħassir tal-fajl mhuwiex ir-revoka tal-identità

Tħassir lokali jneħħi kopja waħda. Iċ-ċavetta privata tista' għadha toqgħod f'p12 imqabbad ma' ticket qadim, folder ta' backup, jew it-tieni laptop imwaqqaf fl-istess ħin. Jekk din kienet identità ta' klijent, il-gateway jibqa' jaċċetta kwalunkwe kopja ta' dik iċ-ċavetta sakemm l-identità tiġi rrifjutata mis-server.

Għal OpenVPN PKI, dan ifisser li tirrevoka ċ-ċertifikat u tiżgura li s-CRL imsemmija minn crl-verify hija kurrenti; easyrsa revoke imbagħad easyrsa gen-crl hija l-verżjoni qasira. Għal gateway marbut ma' provider tal-identità, itfi l-utent jew neħħi l-apparat hemmhekk, għax iċ-ċertifikat huwa biss kredenzjali waħda fil-logħba. It-tħassir tal-kopja lokali waqt li l-kont jibqa' attiv jidher bħal tindif u mhuwiex.

Ix-xogħol ta' inċident għandu ordni differenti: ippreserva ċ-ċertifikat, in-numru tas-serje tiegħu u r-rekord tar-revoka l-ewwel, imbagħad ħassar u rrevoka. Dawk ir-rekords ma jiswew xejn u ma jeħtiġux li titħalla kredenzjali funzjonanti fil-post.

Ivverifika b'handshake u b'tieni app

Iċċekkja l-katina minn barra, mhux mil-lista tal-maħżen li għadek kemm editjajt. Il-maħżen juri l-edit tiegħek; il-handshake juri r-riżultat.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

Kodiċi ta' ritorn 0 ifisser li l-ankri li jifdal għadhom jivvalidaw il-gateway. Żball fil-katina wara li tneħħi l-ankra huwa r-riżultat mistenni, u jikkonferma li ħabtat mal-ankra użata mhux ma' duplikat f'maħżen li l-klijent qatt ma jaqra. Jekk il-konnessjoni għadha taħdem, fittex it-tieni kopja, maħżen imdaħħal fl-app, jew ċertifikat pinned, kollha komuni fi klijenti li jġorru l-lista tal-fiduċja tagħhom.

Imbagħad ipprova xi ħaġa mhux relatata: sit intern, klijent tal-posta, mera tal-pakketti. Dan ikejjel ir-raġġ tal-blast, bl-irħis, qabel ma tagħlaq it-tieqa tal-bidla.

• Ir-rwol identifikat bħala identità, intermedjarju jew ankra tal-fiduċja
• Numru tas-serje u marka tas-swaba' rreġistrati, u l-kopja esportata fil-post approvat
• It-tħassir sar fl-iktar ambitu dejjaq li jispjega s-sintomu
• L-awtorizzazzjoni mis-server revokata meta persuna jew apparat telaq
• Il-handshake spjegat, u app waħda mhux relatata ittestjata mill-ġdid
• Payload MDM jew profil tal-ġestjoni aġġornat, jew iċ-ċertifikat jerġa' lura

Jekk iċ-ċertifikat jerġa' lura wara reboot, ix-xogħol mhuwiex lest: xi ħaġa tippossjedih u terġa' tinstallah. Sib dak is-sid qabel tħassar mill-ġdid, għax it-tielet tħassir iġib ruħu eżatt bħall-ewwel tnejn.