Kva validatorar påverkar eit ekstra rotsertifikat?

Du finn eit rotsertifikat som ikkje burde vere der, og det første spørsmålet er kven si identitet det kan etterlikne. Det ærlege svaret avheng av kva programvare som spør i det lageret, og korleis VPN-en din stadfester gatewayen sin. Ein nettlesar, ein pakkehandsamar og ein VPN-klient med eit festa fingeravtrykk deler ikkje naudsynt same tillitsavgjerd. Kartlegg validatorane før du avgjer omfanget.

Ei rot i systemlageret er ikkje ein universell nøkkel

Å installere ei rot gjer sertifikat signerte med den nøkkelen godtekne for program som brukar det råka lageret. Det gjer dei ikkje automatisk godtekne overalt, fordi nokre program leverer si eiga pakke eller kontrollerer ein festa verdi. Det provar heller ikkje at nokon har køyrt kode på maskina; ei tillitsendring er eitt av fleire høve. Handsame sertifikatet som eit funn som skal avgrensast, ikkje som heile hendinga.

Lageret tyder like mykje som sertifikatet: ei brukarpakke og eit systemdekkjande anker når ulike brukarar.

Kartlegg kvar validator og tillitskjelda hans

Skriv ned kvar komponent som validerer sertifikat for dei råka arbeidsflytane: nettlesar, pakkehandsamar, e-postklient, VPN. Finn deretter tillitskjelda som kvar av dei les.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Katalogoppføringa viser lokalt tilførte anker på Debian-liknande system, og tillitslista viser kva systemlageret eksponerer no. Ein nettlesar med eige lager vil ikkje dukke opp der, og eit Java- eller Python-program kan bruke endå ei pakke. Noter kva oppføringar som er venta og kva som ikkje er det, ved å bruke fingeravtrykket i staden for berre visingsnamnet. Den lista er det ein hendingsrespons treng før noko blir sletta.

Kontroller VPN-en sin eigen peer-validering

Ein VPN med ein privat CA eller eit eksplisitt fingeravtrykk vurderer gatewayen etter si eiga konfigurering. Samanlikn det klienten ventar med det gatewayen presenterer.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Utdataa gir SHA-256-fingeravtrykket og subjektet til sertifikatet endepunktet presenterer, som du kan samanlikne med den konfigurerte verdien. OpenVPN har eit peer-fingeravtrykk-alternativ som gjer den samanlikninga for tunnelen utan å krevje at systemlageret godtek signatøren. Den uavhengigheita er nyttig for tunnelen og seier ingenting om nettlesaren. Det hjelper heller ikkje om det venta fingeravtrykket vart kopiert frå den mistenkelege sambindinga i utgangspunktet.

Avgrens hendinga utover sertifikatet

Bruk prosedyren til eigaren av eininga for å fjerne uautoriserte anker og leite etter endringane som vanlegvis følgjer dei: nye tenester, endra klientar, endra proxyinnstillingar. På ei styrt maskin, stadfest den legitime konfigureringa før du slettar materiale som annan programvare er avhengig av. For kvar validator, noter kvar tilliten kjem frå, kva identitet han ventar, og korleis du stadfesta at gjeldande konfigurering er rett. Ein fungerande tunnel etter oppryddinga er éi observasjon, ikkje prov på at endepunktet er reint.

Test deretter på nytt arbeidsflytane som brukte lageret, fordi fjerning av eit anker kan øydelegge ei intern teneste som med rette stolte på det. Atttopprettinga er ferdig når dei venta tillitsforholda verkar og dei uvanta ikkje gjer det.