له باور ذخیرې څخه زوړ VPN سند څنګه لرې کړو

ستاسو VPN کلاینټ انسټال نه دی، پروفایل له تنظیماتو ورک شوی، او تونل لا هم د زوړ اعتبارنامې سره راپورته کیږي۔ یا یې حذف کوئ، بیا بوټ کوئ، او بله سهار یې بیرته ومومئ۔ دا هېڅ یو مات شوی د حذف تڼۍ نه ده۔ پروفایل ترتیب دی؛ سند د کیلي توکي او د باور هغه پرېکړه ده چې په داسې ذخیره کې ثبت شوې چې پروفایل یوازې ورته اشاره کوي۔ دا چې په لاس کې مو کوم یو دی، هغه ټاکي چې 'لرې کول' باید څه معنا ولري۔

پروفایل سند نه دی

په VPN ترتیب کې درې بېل شیان 'سند' بلل کیږي۔ د کلاینټ هویت د خصوصي کیلي سره یو پاڼه سند دی، او ګیټوې په هغې پریکړه کوي چې تاسو څوک یاست۔ د سرور خپل پاڼه سند او د هغې منځګړی هغه څه دي چې ستاسو کلاینټ د نښلولو پر مهال ګوري۔ د باور لنګر، معمولاً ریښه یا خصوصي CA سند، هغه څه دی چې ځنځیر په بشپړ ډول د تصدیق وړ ګرځوي۔ RFC 5280 دا د باور لنګر، منځګړی او پای هستی بولي، او ځنځیر یوازې هغه وخت معتبر دی چې هرې کړۍ لاندې کړۍ لاسلیک کړي۔

هویت حذف کړئ او یوه وسیله لاسرسی له لاسه ورکوي۔ لنګر حذف کړئ او هره اپلیکیشن چې د هغې ذخیرې پر وړاندې تصدیق کوي، د هغې لاندې د صادر شوي هر څه د کتلو وړتیا له لاسه ورکوي، په دې کې هغه اړیکې هم شاملې دي چې VPN سره هېڅ تړاو نلري۔ دا نابرابري دلته ټول خطر دی: یوه ریښه چې د یو ګیټوې لپاره نصب شوې، ډېری وخت هغه ریښه ده چې داخلي پورټل، برېښنالیک سرور یا د بستې آینه لاسلیک کوي۔ په یاد ولرئ چې له دواړو کوم یو په لاس کې لرئ۔

مالکیت ټاکي چې حذف به حذف پاتې شي که نه۔ ستاسو په خپل لپټاپ کې یوازې تاسو کولی شئ سند بیرته کېږدئ۔ په مدیریت شوې وسیله کې د ترتیب پروفایل یا MDM پایلوډ کولی شي په راتلونکي چک-ان کې بیرته نصب یې کړي، ځکه 'بیرته راځي' او ځکه سخته حذف کول مرسته نه کوي۔

پوه شئ چې کومه ذخیره یې لا هم لري

خلک د تنظیماتو اپلیکیشن څخه پیل کوي، چې یوازینی ځای دی چې سند نه ذخیرېږي۔ ریښتیني ځایونه د OS باور ذخیرې، د براوزر خپله ذخیره او د اپلیکیشن خصوصي ذخیره ده۔

د سیریل نمبر یا ګوتې نښې له مخې ورته وګورئ، هېڅکله د ښکارېدونکي نوم له مخې نه۔ ښکارېدونکي نومونه هغه څوک ټاکي چې سند صادروي او بیا کارول کیږي: 'Example VPN' کولی شي درې سندونه له درې بېلو کیليو سره وي، یو یې لا هم ورځنی کارول کیږي۔

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

په macOS کې security وسیله هماغه حقایق درکوي، او find-identity ښیي چې کوم سندونه لا هم خصوصي کیلي ورسره تړلې ده:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

تنګ شی حذف کړئ، شریک صادرونکی وساتئ

له حذف مخکې صادر یې کړئ۔ له بیک اپ پرته یوازینی رغونه بیا صادرول دي، کوم چې په خصوصي CA کې د PKI چلوونکي ته د بیرته تلو معنا لري۔ صادر شوی PFX هماغه شی دی چې سپارئ که لرې کول غلطه پرېکړه ثابته شي۔

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

دا -user فلګ هغه دی چې خلک ناڅاپه یې پرېږدي۔ پرته له دې، certutil په ماشین ذخیره کار کوي، چې معنا یې لوړ شل، بېل سندونه او هغه زیان دایره ده چې اوس په ماشین کې هر بل حساب هم رانغاړي۔

په macOS او Linux کې بڼه یوه ده: وپېژنئ، صادر یې کړئ، بیا له هغې تر ټولو تنګې ذخیرې یې لرې کړئ چې نښه توضیح کوي۔ په /usr/local/share/ca-certificates کې فایل حذفول او update-ca-certificates بیا چلول بس دي؛ --fresh یوازې هغه وخت مرسته کوي چې په /etc/ssl/certs کې سمبولیک لینکونه لا دمخه ناسم وي۔ د RHEL کورنۍ سیستمونه لنګرونه په /etc/pki/ca-trust/source/anchors کې ساتي، چېرې چې trust anchor --remove هماغه کار کوي۔

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

له CA سند حذفولو مخکې وګورئ چې نور څه ورسره ځنځیر کیږي۔ په بنډل کې د موضوعاتو لیست کول دوه کرښې کتنه ده او ځواب ورکوي چې ایا هغه لنګر بل کار کوي:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

د فایل حذفول د هویت لغوه کول نه دي

سیمه ییز حذف یوه کاپي لرې کوي۔ خصوصي کیلي لا هم کولی شي په p12 کې وي چې زوړ ټکټ سره تړلی، په بیک اپ فولډر کې، یا په دوهم لپټاپ کې چې هماغه وخت جوړ شوی و۔ که دا د کلاینټ هویت و، ګیټوې د هغې کیلي هرې کاپي ته دوام ورکوي تر څو چې هویت د سرور له خوا رد شي۔

د یو OpenVPN PKI لپاره دا معنا لري چې سند لغوه کړئ او ډاډ ترلاسه کړئ چې crl-verify لخوا اشاره شوې CRL اوسنۍ ده؛ easyrsa revoke بیا easyrsa gen-crl لنډه نسخه ده۔ د هویت عرضه کوونکي سره تړلي ګیټوې لپاره، هلته کارن غیرفعال کړئ یا وسیله لرې کړئ، ځکه سند یوازې یوه اعتبارنامه ده چې په لوبه کې ده۔ د حساب د فعال پاتې کېدو پر مهال سیمه ییزه کاپي حذفول پاکوالی ښکاري او نه دی۔

د پېښې کار بېل ترتیب لري: لومړی سند، سیریل نمبر او د لغوه کولو ریکارډ وساتئ، بیا حذف او لغوه کړئ۔ هغه ریکارډونه هېڅ لګښت نلري او د کاروونکې اعتبارنامې پریښودو ته اړتیا نلري۔

د لاس نیول او دوهم اپلیکیشن سره تصدیق کړئ

ځنځیر له بهر څخه وګورئ، نه له هغه ذخیرې لیست څخه چې همدا اوس مو ایډیټ کړ۔ ذخیره ستاسو ایډیټ ښیي؛ لاس نیول نتیجه ښیي۔

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

د بیرته راستنیدو کوډ 0 معنا لري چې پاتې لنګرونه لا هم ګیټوې تصدیقوي۔ له لنګر حذف وروسته د ځنځیر تېروتنه تمه شوې نتیجه ده، او تصدیق کوي چې تاسو په کارېدونکي لنګر ولګېدل، نه په هغې ذخیرې کې د کاپي چې کلاینټ هېڅکله نه لولي۔ که اړیکه لا هم کار کوي، دوهمه کاپي، په اپلیکیشن کې دننه ذخیره یا پن شوی سند ولټوئ، دا ټول هغو کلاینټونو کې عادي دي چې خپل باور لیست راوړي۔

بیا یو ناتړلی شی وازموئ: داخلي سایټ، برېښنالیک کلاینټ، د بستې آینه۔ دا د بدلون کړکۍ بندېدو مخکې زیان دایره په ارزانه توګه اندازه کوي۔

• رول د هویت، منځګړي یا باور لنګر په توګه وپېژندل شو
• سیریل نمبر او ګوتې نښه ثبت شوه، او کاپي منل شوي ځای ته صادره شوه
• حذف په هغه تر ټولو تنګه دایره کې وشو چې نښه توضیح کوي
• د سرور خوا اجازه لغوه شوه کله چې یو کس یا وسیله ولاړه
• لاس نیول توضیح شول، او یو ناتړلی اپلیکیشن بیا وازمویل شو
• MDM پایلوډ یا مدیریت پروفایل تازه شو، که نه سند بیرته راځي

که له بیا بوټ وروسته سند بیرته راغی، کار نه دی بشپړ شوی: یو څه یې مالک دی او بیا یې نصبوي۔ هغه مالک ومومئ مخکې له دې چې بیا حذف کړئ، ځکه دریم حذف به هماغسې چلند وکړي لکه لومړي دوه۔