अतिरिक्त रुट प्रमाणपत्रले कुन प्रमाणकहरूलाई असर गर्छ?

तपाईंले त्यहाँ नहुनुपर्ने रुट प्रमाणपत्र भेट्टाउनुहुन्छ, र पहिलो प्रश्न यो हो कि यसले कसको पहिचान बनाउन सक्छ। इमानदार उत्तर यसमा निर्भर छ कि कुन सफ्टवेयरले त्यो भण्डारलाई सोध्छ र तपाईंको VPN ले आफ्नो गेटवे कसरी प्रमाणित गर्छ। ब्राउजर, प्याकेज प्रबन्धक र पिन गरिएको फिंगरप्रिन्ट भएको VPN क्लाइन्टले अनिवार्य रूपमा एउटै विश्वास निर्णय साझा गर्दैनन्। दायरा तय गर्नु अघि प्रमाणकहरूको नक्सा बनाउनुहोस्।

प्रणाली भण्डारमा रहेको रुट सार्वभौमिक कुञ्जी होइन

रुट स्थापना गर्दा त्यो कुञ्जीले हस्ताक्षर गरिएका प्रमाणपत्रहरू प्रभावित भण्डार प्रयोग गर्ने कार्यक्रमहरूका लागि स्वीकार्य हुन्छन्। यसले तिनलाई स्वतः सबै ठाउँमा स्वीकार्य बनाउँदैन, किनकि केही अनुप्रयोगहरू आफ्नै बन्डल ल्याउँछन् वा पिन गरिएको मान जाँच्छन्। यसले कसैले मेसिनमा कोड चलाएको पनि प्रमाणित गर्दैन; विश्वास परिवर्तन धेरै क्षमताहरूमध्ये एक हो। प्रमाणपत्रलाई सम्पूर्ण घटना नभई दायरा तय गर्नुपर्ने भेटिएको कुराका रूपमा लिनुहोस्।

भण्डार प्रमाणपत्रजत्तिकै महत्त्वपूर्ण छ: प्रयोगकर्ता-स्तरीय बन्डल र प्रणाली-व्यापी एङ्कर फरक उपभोक्ताहरूमा पुग्छन्।

प्रत्येक प्रमाणक र यसको विश्वास स्रोतको नक्सा बनाउनुहोस्

प्रभावित कार्यप्रवाहका लागि प्रमाणपत्रहरू प्रमाणित गर्ने प्रत्येक घटक लेख्नुहोस्: ब्राउजर, प्याकेज प्रबन्धक, मेल क्लाइन्ट, VPN। त्यसपछि प्रत्येकले पढ्ने विश्वास स्रोत खोज्नुहोस्।

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

डाइरेक्टरी सूचीले Debian शैलीका प्रणालीहरूमा स्थानीय रूपमा थपिएका एङ्करहरू देखाउँछ, र विश्वास सूचीले प्रणाली भण्डारले अहिले के प्रस्तुत गर्छ देखाउँछ। आफ्नै भण्डार भएको ब्राउजर त्यहाँ देखिँदैन, र Java वा Python अनुप्रयोगले अर्कै बन्डल प्रयोग गर्न सक्छ। कुन प्रविष्टिहरू अपेक्षित छन् र कुन छैनन् भन्ने कुरा देखाइएको नामको सट्टा फिंगरप्रिन्ट प्रयोग गरेर रेकर्ड गर्नुहोस्। केही पनि मेट्नु अघि घटना प्रतिक्रियाकर्तालाई यही सूची चाहिन्छ।

VPN को आफ्नै पीयर प्रमाणीकरण जाँच्नुहोस्

VPN जसमा निजी CA वा स्पष्ट फिंगरप्रिन्ट छ, त्यसले गेटवेलाई आफ्नै कन्फिगरेसनअनुसार मूल्याङ्कन गर्छ। क्लाइन्टले के अपेक्षा गर्छ र गेटवेले के प्रस्तुत गर्छ त्यसको तुलना गर्नुहोस्।

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

आउटपुटले एन्डपोइन्टले प्रस्तुत गर्ने प्रमाणपत्रको SHA-256 फिंगरप्रिन्ट र विषय दिन्छ, जसलाई तपाईं कन्फिगर गरिएको मानसँग तुलना गर्न सक्नुहुन्छ। OpenVPN मा पीयर-फिंगरप्रिन्ट विकल्प छ जसले प्रणाली भण्डारलाई हस्ताक्षरकर्ता स्वीकार्नु नपर्ने गरी टनेलका लागि त्यो तुलना गर्छ। त्यो स्वतन्त्रता टनेलका लागि उपयोगी छ र ब्राउजरबारे केही भन्दैन। अपेक्षित फिंगरप्रिन्ट सुरुमै शंकास्पद जडानबाट प्रतिलिपि गरिएको भए यसले पनि मद्दत गर्दैन।

प्रमाणपत्रभन्दा बाहिर घटनाको दायरा तय गर्नुहोस्

अनधिकृत एङ्कर हटाउन र सामान्यतया तिनीसँगै आउने परिवर्तनहरू खोज्न यन्त्र मालिकको प्रक्रिया प्रयोग गर्नुहोस्: नयाँ सेवाहरू, परिमार्जित क्लाइन्टहरू, परिवर्तित प्रोक्सी सेटिङहरू। व्यवस्थापित मेसिनमा, अन्य सफ्टवेयर निर्भर रहेको सामग्री मेट्नु अघि वैध कन्फिगरेसन पुष्टि गर्नुहोस्। प्रत्येक प्रमाणकका लागि यसको विश्वास कहाँबाट आउँछ, कुन पहिचान अपेक्षा गर्छ र वर्तमान कन्फिगरेसन सही छ भनी तपाईंले कसरी पुष्टि गर्नुभयो रेकर्ड गर्नुहोस्। सफाइपछि काम गर्ने टनेल एउटा अवलोकन हो, एन्डपोइन्ट सफा छ भन्ने प्रमाण होइन।

त्यसपछि भण्डार प्रयोग गर्ने कार्यप्रवाहहरू फेरि परीक्षण गर्नुहोस्, किनकि एङ्कर हटाउँदा त्यसमा वैध रूपमा भर परेको आन्तरिक सेवा बिग्रन सक्छ। अपेक्षित विश्वास सम्बन्धहरू काम गर्दा र अनपेक्षित नहुँदा पुनःप्राप्ति पूरा हुन्छ।