Katere validatorje prizadene dodatni korenski certifikat?

Najdete korenski certifikat, ki ga tam ne bi smelo biti, in prvo vprašanje je, čigavo identiteto lahko ponareja. Pošten odgovor je odvisen od tega, katera programska oprema pregleduje to shrambo in kako vaš VPN preverja svoj prehod. Brskalnik, upravitelj paketov in odjemalec VPN s pripetim odtisom si ne delijo nujno iste odločitve o zaupanju. Preslikajte validatorje, preden določite obseg.

Koren v sistemski shrambi ni univerzalni ključ

Namestitev korena naredi certifikate, podpisane s tem ključem, sprejemljive za programe, ki uporabljajo prizadeto shrambo. Tega ne naredi samodejno povsod, ker nekatere aplikacije prinesejo svoj paket ali preverijo pripeto vrednost. Prav tako ne dokazuje, da je kdo na stroju izvedel kodo; sprememba zaupanja je ena od več zmožnosti. Obravnavajte certifikat kot ugotovitev, ki jo je treba omejiti, ne kot celoten incident.

Shramba je enako pomembna kot certifikat: paket na ravni uporabnika in sidro na ravni sistema dosežeta različne potrošnike.

Preslikajte vsak validator in njegov vir zaupanja

Zapišite vsako komponento, ki preverja certifikate za prizadete delovne tokove: brskalnik, upravitelj paketov, poštni odjemalec, VPN. Nato poiščite vir zaupanja, ki ga bere vsak od njih.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Izpis kataloga prikazuje lokalno dodana sidra v sistemih v slogu Debiana, seznam zaupanja pa prikazuje, kaj sistemska shramba trenutno izpostavlja. Brskalnik z lastno shrambo se tam ne bo pojavil, aplikacija v Javi ali Pythonu pa lahko uporablja še drug paket. Zabeležite, kateri vnosi so pričakovani in kateri ne, z uporabo odtisa in ne le prikazanega imena. Ta seznam je tisto, kar potrebuje odzivnik na incident, preden karkoli izbriše.

Preverite lastno validacijo partnerja pri VPN

VPN z zasebnim CA ali izrecnim odtisom ocenjuje prehod po lastni konfiguraciji. Primerjajte, kaj odjemalec pričakuje, s tem, kar prehod predstavlja.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Izhod poda odtis SHA-256 in subjekt certifikata, ki ga predstavlja končna točka, in ju lahko primerjate z nastavljeno vrednostjo. OpenVPN ima možnost odtisa partnerja, ki to primerjavo izvede za tunel, ne da bi morala sistemska shramba sprejeti podpisnika. Ta neodvisnost je koristna za tunel in ne pove ničesar o brskalniku. Prav tako ne pomaga, če je bil pričakovani odtis od začetka kopiran iz sumljive povezave.

Omejite incident onkraj certifikata

Po postopku lastnika naprave odstranite nepooblaščena sidra in poiščite spremembe, ki jih običajno spremljajo: nove storitve, spremenjene odjemalce, spremenjene nastavitve proxyja. Na upravljanem stroju potrdite zakonito konfiguracijo, preden izbrišete gradivo, od katerega je odvisna druga programska oprema. Pri vsakem validatorju zabeležite, od kod prihaja njegovo zaupanje, katero identiteto pričakuje in kako ste potrdili, da je trenutna konfiguracija pravilna. Delujoč tunel po čiščenju je eno opažanje, ne dokaz, da je končna točka čista.

Nato znova preizkusite delovne tokove, ki so uporabljali shrambo, ker lahko odstranitev sidra pokvari notranjo storitev, ki se je zakonito zanašala nanj. Obnovitev je končana, ko pričakovani odnosi zaupanja delujejo, nepričakovani pa ne.