Ktoré validátory ovplyvní ďalší koreňový certifikát?

Nájdete koreňový certifikát, ktorý tam nemá byť, a prvá otázka znie, čiu identitu môže vydávať. Poctivá odpoveď závisí od toho, ktorý softvér ono úložisko používa a ako vaša VPN overuje svoju bránu. Prehliadač, správca balíčkov a klient VPN s pripnutým odtlačkom nemusia zdieľať rovnaké rozhodnutie o dôvere. Zmapujte validátory, kým rozhodnete o rozsahu.

Koreň v systémovom úložisku nie je univerzálny kľúč

Inštalácia koreňa sprístupní certifikáty podpísané týmto kľúčom programom, ktoré dané úložisko používajú. Automaticky ich nesprístupní všade, pretože niektoré aplikácie prinášajú vlastný balík alebo kontrolujú pripnutú hodnotu. Nedokazuje to ani, že niekto na stroji spustil kód; zmena dôvery je jedna z viacerých schopností. Berte certifikát ako zistenie, ktorého rozsah treba vymedziť, nie ako celý incident.

Úložisko je rovnako dôležité ako certifikát: balík na úrovni používateľa a systémová kotva sa dostanú k rôznym konzumentom.

Zmapujte každý validátor a jeho zdroj dôvery

Zapíšte každý komponent, ktorý overuje certifikáty pre dotknuté postupy: prehliadač, správca balíčkov, poštový klient, VPN. Potom nájdite zdroj dôvery, ktorý každý z nich číta.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Výpis adresára ukazuje lokálne pridané kotvy na systémoch typu Debian a zoznam dôvery ukazuje, čo systémové úložisko práve sprístupňuje. Prehliadač s vlastným úložiskom sa tam neobjaví a aplikácia v Jave alebo Pythone môže používať ešte iný balík. Zaznamenajte, ktoré položky sú očakávané a ktoré nie, pomocou odtlačku, nie len zobrazovaného názvu. Práve tento zoznam potrebuje tím reakcie na incidenty, kým čokoľvek zmaže.

Overte vlastnú validáciu partnera vo VPN

VPN s súkromnou CA alebo explicitným odtlačkom vyhodnocuje bránu podľa vlastnej konfigurácie. Porovnajte, čo klient očakáva, s tým, čo brána predkladá.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Výstup udáva odtlačok SHA-256 a subjekt certifikátu, ktorý koncový bod predkladá, a môžete ich porovnať s nakonfigurovanou hodnotou. OpenVPN má voľbu odtlačku partnera, ktorá toto porovnanie vykoná pre tunel bez toho, aby systémové úložisko muselo prijať podpisujúceho. Táto nezávislosť je užitočná pre tunel a o prehliadači nehovorí nič. Nepomôže ani vtedy, ak bol očakávaný odtlačok od začiatku skopírovaný z podozrivého spojenia.

Vymedzte incident aj mimo certifikátu

Postupom vlastníka zariadenia odstráňte neoprávnené kotvy a hľadajte zmeny, ktoré ich zvyčajne sprevádzajú: nové služby, upravených klientov, pozmenené nastavenia proxy. Na spravovanom stroji potvrďte legitímnu konfiguráciu, kým zmažete materiál, od ktorého závisí iný softvér. Pri každom validátore zaznamenajte, odkiaľ pochádza jeho dôvera, akú identitu očakáva a ako ste potvrdili, že súčasná konfigurácia je správna. Funkčný tunel po uprataní je jedno pozorovanie, nie dôkaz, že koncový bod je čistý.

Potom znova otestujte postupy, ktoré úložisko používali, pretože odobratie kotvy môže rozbiť internú službu, ktorá sa naň legitímne spoliehala. Obnova je dokončená, keď očakávané vzťahy dôvery fungujú a neočakávané nie.