ਇੱਕ ਵਾਧੂ ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਕਿਹੜੇ ਪ੍ਰਮਾਣਕਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦਾ ਹੈ?

ਤੁਹਾਨੂੰ ਇੱਕ ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਮਿਲਦਾ ਹੈ ਜੋ ਉੱਥੇ ਨਹੀਂ ਹੋਣਾ ਚਾਹੀਦਾ, ਅਤੇ ਪਹਿਲਾ ਸਵਾਲ ਇਹ ਹੈ ਕਿ ਇਹ ਕਿਸ ਦੀ ਪਛਾਣ ਬਣ ਸਕਦਾ ਹੈ। ਇਮਾਨਦਾਰ ਜਵਾਬ ਇਸ ਗੱਲ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ ਕਿ ਕਿਹੜਾ ਸਾਫ਼ਟਵੇਅਰ ਉਸ ਸਟੋਰ ਨੂੰ ਵੇਖਦਾ ਹੈ ਅਤੇ ਤੁਹਾਡਾ VPN ਆਪਣੇ ਗੇਟਵੇ ਦੀ ਪੁਸ਼ਟੀ ਕਿਵੇਂ ਕਰਦਾ ਹੈ। ਬ੍ਰਾਊਜ਼ਰ, ਪੈਕੇਜ ਮੈਨੇਜਰ ਅਤੇ ਪਿੰਨ ਕੀਤੇ ਫਿੰਗਰਪ੍ਰਿੰਟ ਵਾਲਾ VPN ਕਲਾਇੰਟ ਜ਼ਰੂਰੀ ਨਹੀਂ ਕਿ ਇੱਕੋ ਭਰੋਸਾ ਫੈਸਲਾ ਸਾਂਝਾ ਕਰਨ। ਦਾਇਰਾ ਤੈਅ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਪ੍ਰਮਾਣਕਾਂ ਦਾ ਨਕਸ਼ਾ ਬਣਾਓ।

ਸਿਸਟਮ ਸਟੋਰ ਵਿੱਚ ਰੂਟ ਸਰਵਵਿਆਪੀ ਚਾਬੀ ਨਹੀਂ ਹੈ

ਰੂਟ ਸਥਾਪਤ ਕਰਨ ਨਾਲ ਉਸ ਚਾਬੀ ਨਾਲ ਦਸਤਖ਼ਤ ਕੀਤੇ ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਭਾਵਿਤ ਸਟੋਰ ਵਰਤਣ ਵਾਲੇ ਪ੍ਰੋਗਰਾਮਾਂ ਲਈ ਸਵੀਕਾਰਯੋਗ ਹੋ ਜਾਂਦੇ ਹਨ। ਇਹ ਉਹਨਾਂ ਨੂੰ ਆਪਣੇ ਆਪ ਹਰ ਥਾਂ ਸਵੀਕਾਰਯੋਗ ਨਹੀਂ ਬਣਾਉਂਦਾ, ਕਿਉਂਕਿ ਕੁਝ ਐਪਲੀਕੇਸ਼ਨ ਆਪਣਾ ਬੰਡਲ ਲੈ ਕੇ ਆਉਂਦੀਆਂ ਹਨ ਜਾਂ ਪਿੰਨ ਕੀਤਾ ਮੁੱਲ ਜਾਂਚਦੀਆਂ ਹਨ। ਇਹ ਇਹ ਵੀ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ ਕਿ ਕਿਸੇ ਨੇ ਮਸ਼ੀਨ 'ਤੇ ਕੋਡ ਚਲਾਇਆ; ਭਰੋਸਾ ਬਦਲਣਾ ਕਈ ਸਮਰੱਥਾਵਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ। ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਪੂਰੀ ਘਟਨਾ ਵਜੋਂ ਨਹੀਂ, ਸਗੋਂ ਦਾਇਰਾ ਤੈਅ ਕਰਨ ਯੋਗ ਖੋਜ ਵਜੋਂ ਵੇਖੋ।

ਸਟੋਰ ਸਰਟੀਫਿਕੇਟ ਜਿੰਨਾ ਹੀ ਮਹੱਤਵਪੂਰਨ ਹੈ: ਵਰਤੋਂਕਾਰ-ਪੱਧਰੀ ਬੰਡਲ ਅਤੇ ਸਿਸਟਮ-ਵਿਆਪੀ ਐਂਕਰ ਵੱਖ-ਵੱਖ ਖਪਤਕਾਰਾਂ ਤੱਕ ਪਹੁੰਚਦੇ ਹਨ।

ਹਰ ਪ੍ਰਮਾਣਕ ਅਤੇ ਉਸ ਦੇ ਭਰੋਸਾ ਸਰੋਤ ਦਾ ਨਕਸ਼ਾ ਬਣਾਓ

ਪ੍ਰਭਾਵਿਤ ਵਰਕਫ਼ਲੋ ਲਈ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਵਾਲੇ ਹਰ ਹਿੱਸੇ ਨੂੰ ਲਿਖੋ: ਬ੍ਰਾਊਜ਼ਰ, ਪੈਕੇਜ ਮੈਨੇਜਰ, ਮੇਲ ਕਲਾਇੰਟ, VPN। ਫਿਰ ਉਹ ਭਰੋਸਾ ਸਰੋਤ ਲੱਭੋ ਜੋ ਹਰ ਇੱਕ ਪੜ੍ਹਦਾ ਹੈ।

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

ਡਾਇਰੈਕਟਰੀ ਸੂਚੀ Debian-ਸ਼ੈਲੀ ਦੇ ਸਿਸਟਮਾਂ ਵਿੱਚ ਸਥਾਨਕ ਤੌਰ 'ਤੇ ਜੋੜੇ ਗਏ ਐਂਕਰ ਦਿਖਾਉਂਦੀ ਹੈ, ਅਤੇ ਭਰੋਸਾ ਸੂਚੀ ਦਿਖਾਉਂਦੀ ਹੈ ਕਿ ਸਿਸਟਮ ਸਟੋਰ ਇਸ ਵੇਲੇ ਕੀ ਪੇਸ਼ ਕਰਦਾ ਹੈ। ਆਪਣਾ ਸਟੋਰ ਰੱਖਣ ਵਾਲਾ ਬ੍ਰਾਊਜ਼ਰ ਉੱਥੇ ਨਹੀਂ ਦਿਖੇਗਾ, ਅਤੇ Java ਜਾਂ Python ਐਪਲੀਕੇਸ਼ਨ ਕੋਈ ਹੋਰ ਬੰਡਲ ਵਰਤ ਸਕਦੀ ਹੈ। ਕਿਹੜੀਆਂ ਐਂਟਰੀਆਂ ਦੀ ਉਮੀਦ ਹੈ ਅਤੇ ਕਿਹੜੀਆਂ ਦੀ ਨਹੀਂ, ਇਹ ਸਿਰਫ਼ ਦਿਖਾਏ ਨਾਮ ਦੀ ਥਾਂ ਫਿੰਗਰਪ੍ਰਿੰਟ ਵਰਤ ਕੇ ਦਰਜ ਕਰੋ। ਕੁਝ ਵੀ ਮਿਟਾਉਣ ਤੋਂ ਪਹਿਲਾਂ ਘਟਨਾ ਪ੍ਰਤੀਕਿਰਿਆਕਾਰ ਨੂੰ ਇਹੀ ਸੂਚੀ ਚਾਹੀਦੀ ਹੈ।

VPN ਦੀ ਆਪਣੀ ਪੀਅਰ ਪੁਸ਼ਟੀ ਦੀ ਜਾਂਚ ਕਰੋ

ਜਿਸ VPN ਵਿੱਚ ਨਿੱਜੀ CA ਜਾਂ ਸਪਸ਼ਟ ਫਿੰਗਰਪ੍ਰਿੰਟ ਹੈ, ਉਹ ਗੇਟਵੇ ਦਾ ਮੁਲਾਂਕਣ ਆਪਣੀ ਸੰਰਚਨਾ ਅਨੁਸਾਰ ਕਰਦਾ ਹੈ। ਕਲਾਇੰਟ ਕੀ ਉਮੀਦ ਕਰਦਾ ਹੈ ਅਤੇ ਗੇਟਵੇ ਕੀ ਪੇਸ਼ ਕਰਦਾ ਹੈ, ਇਸ ਦੀ ਤੁਲਨਾ ਕਰੋ।

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

ਆਉਟਪੁੱਟ ਐਂਡਪੌਇੰਟ ਵੱਲੋਂ ਪੇਸ਼ ਕੀਤੇ ਸਰਟੀਫਿਕੇਟ ਦਾ SHA-256 ਫਿੰਗਰਪ੍ਰਿੰਟ ਅਤੇ ਵਿਸ਼ਾ ਦਿੰਦਾ ਹੈ, ਜਿਨ੍ਹਾਂ ਦੀ ਤੁਲਨਾ ਤੁਸੀਂ ਸੰਰਚਿਤ ਮੁੱਲ ਨਾਲ ਕਰ ਸਕਦੇ ਹੋ। OpenVPN ਵਿੱਚ ਪੀਅਰ-ਫਿੰਗਰਪ੍ਰਿੰਟ ਵਿਕਲਪ ਹੈ ਜੋ ਸਿਸਟਮ ਸਟੋਰ ਨੂੰ ਦਸਤਖ਼ਤਕਰਤਾ ਸਵੀਕਾਰ ਕਰਨ ਦੀ ਲੋੜ ਤੋਂ ਬਿਨਾਂ ਟਨਲ ਲਈ ਉਹ ਤੁਲਨਾ ਕਰਦਾ ਹੈ। ਇਹ ਆਜ਼ਾਦੀ ਟਨਲ ਲਈ ਲਾਹੇਵੰਦ ਹੈ ਅਤੇ ਬ੍ਰਾਊਜ਼ਰ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦੀ। ਜੇ ਉਮੀਦ ਕੀਤਾ ਫਿੰਗਰਪ੍ਰਿੰਟ ਸ਼ੁਰੂ ਵਿੱਚ ਹੀ ਸ਼ੱਕੀ ਕਨੈਕਸ਼ਨ ਤੋਂ ਕਾਪੀ ਕੀਤਾ ਗਿਆ ਹੋਵੇ ਤਾਂ ਇਹ ਵੀ ਮਦਦ ਨਹੀਂ ਕਰਦੀ।

ਸਰਟੀਫਿਕੇਟ ਤੋਂ ਅੱਗੇ ਘਟਨਾ ਦਾ ਦਾਇਰਾ ਤੈਅ ਕਰੋ

ਅਣਅਧਿਕਾਰਤ ਐਂਕਰ ਹਟਾਉਣ ਅਤੇ ਆਮ ਤੌਰ 'ਤੇ ਉਹਨਾਂ ਨਾਲ ਆਉਣ ਵਾਲੀਆਂ ਤਬਦੀਲੀਆਂ ਲੱਭਣ ਲਈ ਡਿਵਾਈਸ ਮਾਲਕ ਦੀ ਪ੍ਰਕਿਰਿਆ ਵਰਤੋ: ਨਵੀਆਂ ਸੇਵਾਵਾਂ, ਬਦਲੇ ਕਲਾਇੰਟ, ਬਦਲੀਆਂ ਪ੍ਰਾਕਸੀ ਸੈਟਿੰਗਾਂ। ਪ੍ਰਬੰਧਿਤ ਮਸ਼ੀਨ 'ਤੇ, ਹੋਰ ਸਾਫ਼ਟਵੇਅਰ ਜਿਸ 'ਤੇ ਨਿਰਭਰ ਹੈ ਉਹ ਸਮੱਗਰੀ ਮਿਟਾਉਣ ਤੋਂ ਪਹਿਲਾਂ ਜਾਇਜ਼ ਸੰਰਚਨਾ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ। ਹਰ ਪ੍ਰਮਾਣਕ ਲਈ ਦਰਜ ਕਰੋ ਕਿ ਉਸ ਦਾ ਭਰੋਸਾ ਕਿੱਥੋਂ ਆਉਂਦਾ ਹੈ, ਉਹ ਕਿਹੜੀ ਪਛਾਣ ਦੀ ਉਮੀਦ ਕਰਦਾ ਹੈ ਅਤੇ ਤੁਸੀਂ ਕਿਵੇਂ ਪੁਸ਼ਟੀ ਕੀਤੀ ਕਿ ਮੌਜੂਦਾ ਸੰਰਚਨਾ ਸਹੀ ਹੈ। ਸਫ਼ਾਈ ਤੋਂ ਬਾਅਦ ਕੰਮ ਕਰ ਰਹੀ ਟਨਲ ਇੱਕ ਨਿਰੀਖਣ ਹੈ, ਐਂਡਪੌਇੰਟ ਸਾਫ਼ ਹੋਣ ਦਾ ਸਬੂਤ ਨਹੀਂ।

ਫਿਰ ਉਹਨਾਂ ਵਰਕਫ਼ਲੋ ਦੀ ਦੁਬਾਰਾ ਜਾਂਚ ਕਰੋ ਜੋ ਸਟੋਰ ਵਰਤਦੇ ਸਨ, ਕਿਉਂਕਿ ਐਂਕਰ ਹਟਾਉਣ ਨਾਲ ਉਹ ਅੰਦਰੂਨੀ ਸੇਵਾ ਟੁੱਟ ਸਕਦੀ ਹੈ ਜੋ ਜਾਇਜ਼ ਤੌਰ 'ਤੇ ਉਸ 'ਤੇ ਨਿਰਭਰ ਸੀ। ਰਿਕਵਰੀ ਉਦੋਂ ਪੂਰੀ ਹੁੰਦੀ ਹੈ ਜਦੋਂ ਉਮੀਦ ਕੀਤੇ ਭਰੋਸਾ ਸੰਬੰਧ ਕੰਮ ਕਰਦੇ ਹਨ ਅਤੇ ਅਣਕਹੇ ਨਹੀਂ ਕਰਦੇ।