Żbalji TLS biss fuq il-VPN korporattiva: sewwi l-maħżen tal-fiduċja t-tajjeb

Il-bini ta’ Go, l-installazzjoni ta’ Composer u l-klijent Python kollha jaħdmu d-dar u kollha jonqsu ġewwa l-VPN tal-kumpanija. Dan il-mudell jgħidlek dwar il-mogħdija, mhux dwar l-applikazzjoni. Xi ħaġa fuq il-mina biddlet il-katina taċ-ċertifikati li jara l-proċess tiegħek, jew irrisettjat il-handshake qabel ma waslet xi katina xejn. Iż-żewġ ħsarat jidhru simili fit-terminal u jitolbu tweġibiet kompletament differenti.

Tliet messaġġi, tliet mekkaniżmi

L-iżball x509 certificate signed by unknown authority ifisser li nbniet katina u l-għerq tagħha huwa nieqes mill-maħżen tal-fiduċja li juża dak il-proċess. L-iżball self-signed certificate in certificate chain normalment ifisser li proxy tal-ispezzjoni wieġeb biċ-ċertifikat tiegħu stess, u din hija katina li l-ambjent tal-eżekuzzjoni tiegħek ma jirrikonoxxix. SSL EOF waqt il-handshake ifisser li l-konnessjoni ngħalqet qabel ma ntbagħat xi ċertifikat użabbli, u dan huwa apparat tan-nofs li jirrifjuta l-ClientHello, xejn problema ta’ fiduċja.

Iż-żieda ta’ bandiera mhux sikura tħalli t-tliet messaġġi jisparixxu waqt li l-interċettazzjoni tibqa’ f’postha, u tneħħi l-verifika li kienet taqbad attakkant veru.

Sib il-bundle li l-proċess jaqra tassew

L-għerq korporattiv installat fil-maħżen ta’ Windows isewwi l-browsers u l-applikazzjonijiet .NET li jikkonsultaw il-maħżen tas-sistema. Ma jagħmel xejn għal bini li jaħdem ġewwa kontenitur, li jġorr il-bundle CA tiegħu stess, u xejn għal proċess Python li juża certifi jew proċess Node li juża l-lista inkorporata tiegħu. Go jaqra l-pool tas-sistema tal-ambjent li fih jaħdem il-binarju, jiġifieri l-kontenitur, mhux il-laptop. Għalhekk magna waħda tipproduċi fl-istess ħin browser li jaħdem u għodda tal-bini li tfalli.

Staqsi lill-għodda minflok ma tassumi. python3 -c "import ssl; print(ssl.get_default_verify_paths())" jipprintja l-fajls li Python se jikkonsulta, u node -e "console.log(process.env.NODE_EXTRA_CA_CERTS)" juri jekk hijiex diġà stabbilita sostituzzjoni. Għal kontenitur, ħaddem l-istess verifika ġewwa l-immaġni, għax dak huwa l-ambjent li l-bini juża tassew.

Installa għerq wieħed fejn imur il-bini

Ikseb l-għerq tal-ispezzjoni mingħand l-IT bħala fajl PEM u vverifika l-marka tas-swaba’ tiegħu b’kanal separat qabel ma tafdah. Fuq immaġnijiet ibbażati fuq Debian, ikkopjah f’/usr/local/share/ca-certificates/ u ħaddem update-ca-certificates; l-immaġnijiet tal-familja RHEL jużaw update-ca-trust wara li l-fajl jitqiegħed f’/etc/pki/ca-trust/source/anchors/. F’bini tal-kontenitur, żid dawk il-passi qabel il-kmand li jfalli biex is-saff jiġi kkaxxjat fuq l-installazzjoni tad-dipendenzi.

Għal devcontainer lokali, immonta l-PEM u ħaddem l-istess kmand tal-aġġornament fil-bidu minflok ma taħmih f’immaġni personali li ħadd ieħor ma jista’ jirriproduċi. L-għodod li jġorru l-bundle tagħhom jeħtieġu s-sostituzzjoni dokumentata tagħhom: pip għandu setting taċ-ċertifikat, npm għandu setting cafile, u l-biċċa l-kbira tal-oħrajn jaċċettaw il-varjabbli tal-ambjent standard.

Dan mhuwiex l-istess bħal taċċetta kwalunkwe ċertifikat. Qed iżżid għerq wieħed speċifiku, miksub mill-parti li tagħmel l-ispezzjoni, ma’ ambjent wieħed, u l-verifika tibqa’ mixgħula għal kull katina oħra. Innota liema fajl ġie miżjud u meta jiskadi, għax għerq tal-ispezzjoni jiġġedded bħal kwalunkwe CA oħra.

Meta l-handshake imut qabel ċertifikat

Jekk ma jiġi ppreżentat xejn, ebda bidla fil-maħżen tal-fiduċja ma tgħin. Qabbel l-istess talba bit-tunnel mixgħul u mitfi, imbagħad spezzjona l-katina direttament bil-openssl s_client -connect host:443 -servername host -showcerts. Konnessjoni li titlesta barra l-VPN u tiġi rrisettjata ġewwa fiha hija deċiżjoni ta’ politika tal-apparat tan-nofs, u l-mediċina hija eċċezzjoni għal dak il-host, mhux ċertifikat ieħor. Itlob li r-reġistru tal-pakketti jew il-punt tat-tmiem tal-API jgħaddu mingħajr tibdil.

Li tifred il-mina biex l-għodda tevita l-VPN tevita l-ispezzjoni għal dak it-traffiku, li jista’ jikser il-politika u ma jagħmilx l-għodda affidabbli.

Innota r-riżultat għal kull għodda

Nota qasira li telenka l-binarju, il-fajl tal-fiduċja li jaqra, il-varjabbli tal-ambjent fil-logħba u l-eċċezzjoni approvata tiffranka lill-persuna li jmiss id-dijanjosi kollha. Żomm in-nota għal kull għodda u mhux għal kull laptop, għax il-laptop rari huwa l-ħaġa li nbidlet.

U żomm żewġ sentenzi separati fit-ticket: installajna għerq korporattiv speċifiku, u dtajna l-verifika. Waħda biss minnhom hija azzjoni ta’ appoġġ.