කල් ඉකුත් වූ VPN සහතිකයක් විශ්වාස ගබඩාවකින් ඉවත් කරන ආකාරය

VPN පැතිකඩක් මැකීමෙන් සහතිකය OS, බ්‍රවුසරය හෝ යෙදුම් ගබඩාව තුළ ඉතිරි වේ. ඇඟිලි සලකුණ අනුව ගළපන්න, පටුම පිටපත මකන්න, පසුව දාමය තහවුරු කරන්න.

ඔබේ VPN සේවාදායකය ඉවත් කර ඇත, පැතිකඩ සැකසීම්වලින් අතුරුදහන් වී ඇත, නමුත් උමග තවමත් පැරණි අක්තපත්‍ර සමඟ ඉහළ යයි. නැතහොත් ඔබ එය මකා, නැවත අරඹා, පසුදා උදෑසන එය නැවත සොයා ගනී. මේ කිසිවක් කැඩුණු මකන බොත්තමක් නොවේ. පැතිකඩක් යනු වින්‍යාසයකි; සහතිකයක් යනු යතුරු ද්‍රව්‍ය සහ පැතිකඩ පමණක් යොමු කරන ගබඩාවක සටහන් වූ විශ්වාස තීරණයකි. ඔබ අතේ ඇත්තේ මින් කුමක්ද යන්න තීරණය කරන්නේ 'ඉවත් කිරීම' යන්නෙන් අදහස් විය යුත්තේ කුමක්ද යන්නයි.

පැතිකඩක් සහතිකයක් නොවේ

VPN සැකසුමක ඇති විවිධ වස්තු තුනක් 'සහතිකය' ලෙස හැඳින්වේ. සේවාදායක අනන්‍යතාව යනු පෞද්ගලික යතුරක් සහිත පත්‍ර සහතිකයකි, සහ ඔබ කවුරුන්ද යන්න තීරණය කිරීමට ද්වාරය එය භාවිත කරයි. සේවාදායකයේම පත්‍ර සහතිකය සහ එහි අතරමැදියා යනු ඔබේ සේවාදායකය සම්බන්ධ වන විට පරීක්ෂා කරන දේය. විශ්වාස ලංකරය, සාමාන්‍යයෙන් මූල හෝ පෞද්ගලික CA සහතිකයක්, දාමය කිසිසේත් තහවුරු කළ හැකි කරන්නේ එයයි. RFC 5280 මේවා විශ්වාස ලංකරය, අතරමැදියා සහ අවසාන ආයතනය ලෙස නම් කරයි, සහ සෑම සබැඳියක්ම යටින් ඇති සබැඳියට අත්සන් කරන තාක් දාමය වලංගු වේ.

අනන්‍යතාව මකන්න, එවිට එක් උපාංගයකට ප්‍රවේශය අහිමි වේ. ලංකරය මකන්න, එවිට එම ගබඩාවට එරෙහිව තහවුරු කරන සෑම යෙදුමකටම එය යටතේ නිකුත් කළ කිසිවක් පරීක්ෂා කිරීමේ හැකියාව අහිමි වේ, VPN සමඟ කිසිදු සම්බන්ධයක් නැති සම්බන්ධතා ද ඇතුළුව. මෙම අසමමිතිය මෙහි සම්පූර්ණ අවදානමයි: එක් ද්වාරයක් සඳහා ස්ථාපනය කරන ලද මූලයක් බොහෝ විට අභ්‍යන්තර ද්වාරයක්, තැපැල් සේවාදායකයක් හෝ පැකේජ දර්පණයක් අත්සන් කරන එම මූලයම වේ. දෙකෙන් කුමක් ඔබ අතේ තිබේදැයි මතක තබා ගන්න.

හිමිකම තීරණය කරන්නේ මැකීම මැකුණු ලෙස පවතින්නේද යන්නයි. ඔබට අයත් ලැප්ටොප් එකක ඔබ පමණක් සහතිකය නැවත තැබිය හැක. කළමනාකරණය කරන උපාංගයක වින්‍යාස පැතිකඩක් හෝ MDM පේලෝඩයක් ඊළඟ පිවිසුමේදී එය නැවත ස්ථාපනය කළ හැක, එනිසා එය 'නැවත එයි' සහ එනිසා වඩාත් තදින් මැකීමෙන් ප්‍රයෝජනයක් නැත.

එය තවමත් ඇති ගබඩාව සොයා ගන්න

මිනිසුන් සැකසීම් යෙදුමෙන් ආරම්භ කරයි, එය සහතිකයක් ගබඩා නොකරන එකම තැනයි. සැබෑ ස්ථාන වන්නේ OS විශ්වාස ගබඩා, බ්‍රවුසරයේම ගබඩාව සහ යෙදුමේ පෞද්ගලික ගබඩාවයි.

StoreWhat deleting from it affects
Windows CurrentUser\Myyour login session only
Windows LocalMachine Rootevery user and service on the machine
macOS login or System keychainone account, or all of them with sudo
Linux ca-certificates bundlecurl, git, Python, anything using the system bundle
Firefox cert9.dbFirefox only; it does not read the OS store

අනුක්‍රමික අංකය හෝ ඇඟිලි සලකුණ අනුව ගළපන්න, කිසි විටෙකත් දර්ශන නාමය අනුව නොවේ. දර්ශන නාම සහතිකය නිකුත් කළ තැනැත්තා විසින් සකසන අතර නැවත භාවිත වේ: 'Example VPN' යනු විවිධ යතුරු තුනක් සහිත සහතික තුනක් විය හැක, එකක් තවමත් දිනපතා භාවිතයේ ඇත.

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

macOS හි security මෙවලම එම කරුණු ලබා දෙයි, සහ find-identity තවමත් පෞද්ගලික යතුරක් සම්බන්ධ කර ඇති සහතික පෙන්වයි:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

පටු වස්තුව මකන්න, හවුල් නිකුත් කරන්නා තබා ගන්න

මැකීමට පෙර අපනයනය කරන්න. උපස්ථයක් නොමැතිව එකම ප්‍රතිසාධනය නැවත නිකුත් කිරීමයි, පෞද්ගලික CA එකක මෙයින් අදහස් වන්නේ PKI කරන තැනැත්තා වෙත ආපසු යාමයි. අපනයනය කළ PFX යනු ඉවත් කිරීම වැරදි තීරණයක් බව පෙනේ නම් ඔබ භාර දෙන දෙයයි.

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

මෙම -user ධජය මිනිසුන් අහම්බෙන් අත්හරින එකයි. එය නොමැතිව certutil යන්ත්‍ර ගබඩාව මත ක්‍රියා කරයි, එනම් උසස් කළ ෂෙල් එකක්, වෙනත් සහතික කට්ටලයක් සහ දැන් යන්ත්‍රයේ අනෙක් සියලුම ගිණුම් ඇතුළත් වන බලපෑම් අරයක්.

macOS සහ Linux හි හැඩය සමානය: හඳුනාගන්න, අපනයනය කරන්න, පසුව රෝග ලක්ෂණය පැහැදිලි කරන පටුම ගබඩාවෙන් ඉවත් කරන්න. /usr/local/share/ca-certificates යටතේ ඇති ගොනුව ඉවත් කර නැවත update-ca-certificates ධාවනය කිරීම ප්‍රමාණවත්‍ය; --fresh උපකාරී වන්නේ /etc/ssl/certs හි සංකේතාත්මක සබැඳි දැනටමත් නොගැළපෙන විට පමණි. RHEL පවුලේ පද්ධති ලංකර /etc/pki/ca-trust/source/anchors තුළ තබා ගනී, එහිදී trust anchor --remove එම කාර්‍යයම කරයි.

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

CA සහතිකයක් මැකීමට පෙර එයට තවත් කුමක් දාම වේදැයි පරීක්ෂා කරන්න. කට්ටලය තුළ ඇති විෂයයන් ලැයිස්තුගත කිරීම පේළි දෙකක පරීක්ෂාවක් වන අතර එම ලංකරය වෙනත් කාර්‍යයක් කරන්නේද යන්නට පිළිතුරු දෙයි:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

ගොනුව මැකීම අනන්‍යතාව අවලංගු කිරීම නොවේ

දේශීය මැකීමක් එක් පිටපතක් ඉවත් කරයි. පෞද්ගලික යතුර තවමත් පැරණි ටිකට්පතකට සම්බන්ධ p12 එකක, උපස්ථ ෆෝල්ඩරයක හෝ එකම වේලාවේ සකසන ලද දෙවන ලැප්ටොප් එකේ තිබිය හැක. මෙය සේවාදායක අනන්‍යතාවක් නම්, අනන්‍යතාව සේවාදායක පැත්තෙන් ප්‍රතික්ෂේප කරන තාක් ද්වාරය එම යතුරේ ඕනෑම පිටපතක් පිළිගනී.

එක් OpenVPN PKI එකක් සඳහා මෙයින් අදහස් වන්නේ සහතිකය අවලංගු කිරීම සහ crl-verify විසින් යොමු කරන CRL යාවත්කාලීන බව තහවුරු කිරීමයි; easyrsa revoke පසුව easyrsa gen-crl කෙටි අනුවාදයයි. අනන්‍යතා සපයන්නෙකුට සම්බන්ධ ද්වාරයක් සඳහා එහි පරිශීලකයා අබල කරන්න හෝ උපාංගය ඉවත් කරන්න, මන්ද සහතිකය ක්‍රීඩාවේ ඇති එක් අක්තපත්‍රයක් පමණක් වේ. ගිණුම සක්‍රීයව තිබියදී දේශීය පිටපත මැකීම පිරිසිදු කිරීමක් ලෙස පෙනේ, එය එසේ නොවේ.

සිද්ධි කටයුතුවලට වෙනස් අනුපිළිවෙලක් ඇත: මුලින්ම සහතිකය, එහි අනුක්‍රමික අංකය සහ අවලංගු කිරීමේ වාර්තාව සුරකින්න, පසුව මකා අවලංගු කරන්න. එම වාර්තාවලට කිසිදු වියදමක් නැති අතර ක්‍රියාකාරී අක්තපත්‍රයක් තබා යාම අවශ්‍ය නොවේ.

අත් අල්ලා ගැනීමකින් සහ දෙවන යෙදුමකින් තහවුරු කරන්න

දාමය පිටතින් පරීක්ෂා කරන්න, ඔබ දැන් සංස්කරණය කළ ගබඩා ලැයිස්තුවෙන් නොවේ. ගබඩාව ඔබේ සංස්කරණය පෙන්වයි; අත් අල්ලා ගැනීම ප්‍රතිඵලය පෙන්වයි.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

ආපසු එන කේතය 0 යනු ඉතිරි ලංකර තවමත් ද්වාරය තහවුරු කරන බවයි. ලංකරය ඉවත් කිරීමෙන් පසු දාම දෝෂයක් අපේක්ෂිත ප්‍රතිඵලය වන අතර, ඔබ භාවිතයේ ඇති ලංකරයට ගැටුණු බවත්, සේවාදායකය කිසි විටෙකත් නොකියවන ගබඩාවක ඇති අනුපිටපතකට නොව බවත් තහවුරු කරයි. සම්බන්ධතාව තවමත් ක්‍රියා කරන්නේ නම්, දෙවන පිටපතක්, යෙදුම තුළ ඇති ගබඩාවක් හෝ ඇමිණූ සහතිකයක් සොයන්න; මේ සියල්ල තමන්ගේම විශ්වාස ලැයිස්තුවක් ගෙන එන සේවාදායකවල සාමාන්‍යයි.

පසුව සම්බන්ධයක් නැති දෙයක් පරීක්ෂා කරන්න: අභ්‍යන්තර අඩවියක්, තැපැල් සේවාදායකයක්, පැකේජ දර්පණයක්. එය වෙනස්කම් කවුළුව වැසීමට පෙර බලපෑම් අරය ලාභදායී ලෙස මනිනු ලබයි.

  • භූමිකාව අනන්‍යතාව, අතරමැදියා හෝ විශ්වාස ලංකරය ලෙස හඳුනා ගන්නා ලදී
  • අනුක්‍රමික අංකය සහ ඇඟිලි සලකුණ සටහන් කර, පිටපත අනුමත ස්ථානයට අපනයනය කරන ලදී
  • රෝග ලක්ෂණය පැහැදිලි කරන පටුම විෂය පථය තුළ මැකීම සිදු කරන ලදී
  • පුද්ගලයෙකු හෝ උපාංගයක් ඉවත් වූ විට සේවාදායක පැත්තේ අවසරය අවලංගු කරන ලදී
  • අත් අල්ලා ගැනීම පැහැදිලි කර, එක් අදාළ නොවන යෙදුමක් නැවත පරීක්ෂා කරන ලදී
  • MDM පේලෝඩය හෝ කළමනාකරණ පැතිකඩ යාවත්කාලීන කරන ලදී, නැතහොත් සහතිකය නැවත එයි

නැවත ඇරඹීමෙන් පසු සහතිකය නැවත පැමිණ ඇත්නම්, කාර්‍යය අවසන් නැත: යමක් එය හිමිකරගෙන නැවත ස්ථාපනය කරයි. නැවත මැකීමට පෙර එම හිමිකරු සොයා ගන්න, මන්ද තුන්වන මැකීම පළමු දෙකට හරියටම සමානව හැසිරෙනු ඇත.

අදාළ ලිපි