Hvilke validatorer påvirker et ekstra rotsertifikat?

Du finner et rotsertifikat som ikke burde være der, og det første spørsmålet er hvis identitet det kan etterligne. Det ærlige svaret avhenger av hvilken programvare som spør i det lageret, og hvordan VPN-en din verifiserer gatewayen sin. En nettleser, en pakkebehandler og en VPN-klient med et festet fingeravtrykk deler ikke nødvendigvis samme tillitsbeslutning. Kartlegg validatorer før du bestemmer omfanget.

En rot i systemlageret er ikke en universell nøkkel

Å installere en rot gjør sertifikater signert med den nøkkelen akseptable for programmer som bruker det berørte lageret. Det gjør dem ikke automatisk akseptable overalt, fordi noen programmer leverer sin egen pakke eller kontrollerer en festet verdi. Det beviser heller ikke at noen har kjørt kode på maskinen; en tillitsendring er én av flere muligheter. Behandle sertifikatet som et funn som skal avgrenses, ikke som hele hendelsen.

Lageret betyr like mye som sertifikatet: en brukerpakke og et systemdekkende anker når ulike forbrukere.

Kartlegg hver validator og tillitskilden dens

Skriv ned hver komponent som validerer sertifikater for de berørte arbeidsflytene: nettleser, pakkebehandler, e-postklient, VPN. Finn deretter tillitskilden som hver av dem leser.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Katalogoppføringen viser lokalt tilførte ankere på Debian-lignende systemer, og tillitslisten viser hva systemlageret eksponerer nå. En nettleser med eget lager vil ikke dukke opp der, og et Java- eller Python-program kan bruke enda en pakke. Noter hvilke oppføringer som er forventet og hvilke som ikke er det, ved å bruke fingeravtrykket i stedet for bare visningsnavnet. Den listen er det en hendelsesrespondent trenger før noe slettes.

Kontroller VPN-ens egen peer-validering

En VPN med en privat CA eller et eksplisitt fingeravtrykk vurderer gatewayen etter sin egen konfigurasjon. Sammenlign det klienten forventer med det gatewayen presenterer.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Utdataene gir SHA-256-fingeravtrykket og subjektet til sertifikatet endepunktet presenterer, som du kan sammenligne med den konfigurerte verdien. OpenVPN har et peer-fingeravtrykk-alternativ som utfører den sammenligningen for tunnelen uten å kreve at systemlageret godtar signatoren. Den uavhengigheten er nyttig for tunnelen og sier ingenting om nettleseren. Det hjelper heller ikke hvis det forventede fingeravtrykket ble kopiert fra den mistenkelige forbindelsen i utgangspunktet.

Avgrens hendelsen utover sertifikatet

Bruk enhetseierens prosedyre for å fjerne uautoriserte ankere og lete etter endringene som vanligvis følger dem: nye tjenester, endrede klienter, endrede proxyinnstillinger. På en administrert maskin, bekreft den legitime konfigurasjonen før du sletter materiale som annen programvare er avhengig av. For hver validator, noter hvor tilliten kommer fra, hvilken identitet den forventer, og hvordan du bekreftet at gjeldende konfigurasjon er riktig. En fungerende tunnel etter oppryddingen er én observasjon, ikke bevis for at endepunktet er rent.

Test deretter på nytt arbeidsflytene som brukte lageret, fordi fjerning av et anker kan bryte en intern tjeneste som med rette stolte på det. Gjenopprettingen er ferdig når de forventede tillitsforholdene virker og de uventede ikke gjør det.