Cilët validues ndikon një certifikatë rrënjë shtesë?

Gjeni një certifikatë rrënjë që nuk duhet të ishte aty, dhe pyetja e parë është identitetin e kujt mund të imitojë. Përgjigja e sinqertë varet nga ajo se cili softuer konsulton atë depo dhe si e verifikon VPN-i juaj portën e tij. Një shfletues, një menaxher paketash dhe një klient VPN me një gjurmë të fiksuar gishti nuk ndajnë domosdoshmërisht të njëjtin vendim besimi. Hartëzoni validuesit përpara se të vendosni shtrirjen.

Një rrënjë në depon e sistemit nuk është çelës universal

Instalimi i një rrënje i bën certifikatat e nënshkruara me atë çelës të pranueshme për programet që përdorin depon e prekur. Kjo nuk i bën ato automatikisht të pranueshme kudo, sepse disa aplikacione sjellin paketën e tyre ose kontrollojnë një vlerë të fiksuar. As nuk provon se dikush ekzekutoi kod në makinë; një ndryshim besimi është një aftësi ndër disa. Trajtojeni certifikatën si një gjetje për t'u kufizuar, jo si të gjithë incidentin.

Depoja ka po aq rëndësi sa certifikata: një paketë në nivel përdoruesi dhe një spirancë në nivel sistemi arrijnë te konsumatorë të ndryshëm.

Hartëzoni çdo validues dhe burimin e tij të besimit

Shkruani çdo komponent që validon certifikatat për rrjedhat e punës të prekura: shfletues, menaxher paketash, klient poste, VPN. Më pas gjeni burimin e besimit që lexon secili.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Listimi i drejtorisë tregon spiranca të shtuara lokalisht në sistemet e stilit Debian, dhe lista e besimit tregon çfarë ekspozon aktualisht depoja e sistemit. Një shfletues me depon e vet nuk do të shfaqet atje, dhe një aplikacion Java ose Python mund të përdorë një paketë tjetër. Regjistroni cilat zëra priten dhe cilat jo, duke përdorur gjurmën e gishtit dhe jo vetëm emrin e shfaqur. Ai listë është ajo që i duhet një përgjigjësi incidenti përpara se të fshijë çdo gjë.

Kontrolloni validimin e partnerit të vetë VPN-it

Një VPN me një CA privat ose një gjurmë eksplicite gishti e vlerëson portën sipas konfigurimit të vet. Krahasoni atë që pret klienti me atë që paraqet porta.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Dalja jep gjurmën SHA-256 dhe subjektin e certifikatës që paraqet pika fundore, të cilat mund t'i krahasoni me vlerën e konfiguruar. OpenVPN ka një opsion të gjurmës së gishtit të partnerit që e kryen atë krahasim për tunelin pa kërkuar që depoja e sistemit të pranojë nënshkruesin. Kjo pavarësi është e dobishme për tunelin dhe nuk thotë asgjë për shfletuesin. As nuk ndihmon nëse gjurma e pritur u kopjua që në fillim nga lidhja e dyshimtë.

Kufizoni incidentin përtej certifikatës

Përdorni procedurën e pronarit të pajisjes për të hequr spirancat e paautorizuara dhe për të kërkuar ndryshimet që zakonisht i shoqërojnë: shërbime të reja, klientë të modifikuar, cilësime proxy të ndryshuara. Në një makinë të menaxhuar, konfirmoni konfigurimin legjitim përpara se të fshini material nga i cili varet softuer tjetër. Për çdo validues, regjistroni nga vjen besimi i tij, çfarë identiteti pret dhe si konfirmuat që konfigurimi aktual është i saktë. Një tunel funksional pas pastrimit është një vëzhgim, jo provë se pika fundore është e pastër.

Më pas riprovoni rrjedhat e punës që përdorën depon, sepse heqja e një spirance mund të thyejë një shërbim të brendshëm që mbështetej ligjërisht tek ajo. Rikuperimi përfundon kur marrëdhëniet e pritura të besimit funksionojnë dhe ato të papriturat jo.