Si të hiqet një certifikatë VPN e vjetruar nga një depo besimi

Klienti VPN është çinstaluar, profili ka humbur nga Cilësimet dhe tuneli prapë ngrihet me kredencialet e vjetra. Ose e fshin, rinis dhe e gjen përsëri në mëngjesin tjetër. Asnjëra nuk është një buton i prishur fshirjeje. Profili është konfigurim; certifikata është material çelësi plus një vendim besimi i regjistruar në një depo që profili vetëm e tregon. Cilën prej të dyjave mban në dorë vendos çfarë duhet të thotë 'hiq'.

Një profil nuk është certifikatë

Në një konfigurim VPN, tre objekte të ndryshme quhen 'certifikata'. Identiteti i klientit është një certifikatë gjethe me çelës privat dhe porta e përdor për të vendosur kush jeni. Certifikata gjethe e vetë serverit dhe ndërmjetësi i saj janë ajo që klienti juaj kontrollon kur lidhet. Ankori i besimit, zakonisht një certifikatë rrënjë ose CA private, është ajo që e bën zinxhirin të verifikueshëm fare. RFC 5280 i quan këto ankori besimi, ndërmjetësi dhe entiteti fundor, dhe zinxhiri vlen vetëm për sa kohë çdo hallkë nënshkruan hallkën poshtë saj.

Fshi identitetin dhe një pajisje humbet aksesin. Fshi ankorin dhe çdo aplikacion që verifikon kundrejt asaj depoje humbet aftësinë për të kontrolluar çdo gjë të lëshuar nën të, përfshirë lidhjet që nuk kanë asgjë të bëjnë me VPN. Kjo asimetri është i gjithë rreziku këtu: një rrënjë e instaluar për një portë është shpesh e njëjta rrënjë që nënshkruan një portal të brendshëm, një server poste ose një pasqyrë paketash. Mbani mend cilën prej të dyjave keni në dorë.

Pronësia vendos nëse fshirja mbetet e fshirë. Në një laptop që ju zotëroni, ju jeni i vetmi që mund ta kthejë certifikatën. Në një pajisje të menaxhuar, një profil konfigurimi ose një payload MDM mund ta riinstalojë në check-in tjetër, prandaj 'kthehet' dhe prandaj fshirja më e fortë nuk ndihmon.

Gjeni cila depo ende e mban

Njerëzit fillojnë në aplikacionin Cilësimet, i cili është i vetmi vend ku një certifikatë nuk ruhet. Vendndodhjet e vërteta janë depot e besimit të sistemit, depoja e vetë shfletuesit dhe depoja private e aplikacionit.

Përputhe sipas numrit serial ose gjurmës së gishtit, kurrë sipas emrit të shfaqur. Emrat e shfaqur i vendos kush e lëshoi certifikatën dhe ripërdoren: 'Example VPN' mund të jenë tre certifikata me tre çelësa të ndryshëm, njëra ende në përdorim të përditshëm.

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

Në macOS, mjeti security jep të njëjtat fakte dhe find-identity tregon cilat certifikata kanë ende një çelës privat të bashkangjitur:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

Fshi objektin e ngushtë, mbaj lëshuesin e përbashkët

Eksporto para se të fshish. Pa një kopje rezervë, rikuperimi i vetëm është rilëshimi, që në një CA private do të thotë kthim te kush drejton PKI-në. PFX i eksportuar është gjithashtu ajo që dorëzon nëse heqja rezulton vendim i gabuar.

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

Flamuri -user është ai që njerëzit e lënë jashtë aksidentalisht. Pa të, certutil punon në depon e makinës, që do të thotë një shell i ngritur, një grup tjetër certifikatash dhe një rreze shpërthimi që tani përfshin çdo llogari tjetër në makinë.

Në macOS dhe Linux forma është e njëjtë: identifiko, eksporto dhe më pas hiq nga depoja më e ngushtë që shpjegon simptomën. Heqja e skedarit në /usr/local/share/ca-certificates dhe rikthimi i update-ca-certificates mjafton; --fresh ndihmon vetëm kur lidhjet simbolike në /etc/ssl/certs janë tashmë të paqëndrueshme. Sistemet e familjes RHEL i mbajnë ankoret në /etc/pki/ca-trust/source/anchors, ku trust anchor --remove bën të njëjtën punë.

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

Para se të fshish një certifikatë CA, kontrollo çfarë tjetër zinxhirohet në të. Renditja e subjekteve brenda paketës është një kontroll me dy rreshta dhe përgjigjet nëse ai ankor po bën punë tjetër:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

Fshirja e skedarit nuk është revokim i identitetit

Një fshirje lokale heq një kopje. Çelësi privat mund të rrijë ende në një p12 bashkangjitur një tikete të vjetër, në një dosje rezervë ose në laptopin e dytë të konfiguruar në të njëjtën kohë. Nëse ky ishte një identitet klienti, porta vazhdon të pranojë çdo kopje të atij çelësi derisa identiteti të refuzohet në anën e serverit.

Për një OpenVPN PKI, kjo do të thotë revokim i certifikatës dhe sigurim që CRL-ja të cilën referon crl-verify është e përditësuar; easyrsa revoke dhe më pas easyrsa gen-crl është versioni i shkurtër. Për një portë të lidhur me një ofrues identiteti, çaktivizo përdoruesin ose hiq pajisjen atje, sepse certifikata është vetëm një kredencial në lojë. Fshirja e kopjes lokale ndërsa llogaria mbetet aktive duket si pastrim dhe nuk është.

Puna e incidentit ka një rend tjetër: ruaj së pari certifikatën, numrin e saj serial dhe regjistrin e revokimit, pastaj fshi dhe revoko. Ato regjistra nuk kushtojnë asgjë dhe nuk kërkojnë të lësh një kredencial funksionale në vend.

Verifiko me një shtrëngim duarsh dhe një aplikacion të dytë

Kontrollo zinxhirin nga jashtë, jo nga lista e depos që sapo redaktove. Depoja tregon redaktimin tënd; shtrëngimi i duarve tregon rezultatin.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

Një kod kthimi 0 do të thotë që ankoret e mbetura ende vlerësojnë portën. Një gabim zinxhiri pas heqjes së ankorit është rezultati i pritur dhe konfirmon që godite ankorin në përdorim e jo një dublikatë në një depo që klienti nuk e lexon kurrë. Nëse lidhja ende funksionon, kërko një kopje të dytë, një depo të integruar në aplikacion ose një certifikatë të fiksuar, të gjitha të zakonshme te klientët që sjellin listën e tyre të besimit.

Pastaj testo diçka të palidhur: një sajt të brendshëm, një klient poste, një pasqyrë paketash. Kjo mat lirshëm rrezen e shpërthimit, para se të mbyllet dritarja e ndryshimit.

• Roli identifikuar si identitet, ndërmjetës ose ankor besimi
• Numri serial dhe gjurma e gishtit të regjistruara, dhe kopja e eksportuar në vendndodhjen e miratuar
• Fshirja u krye në shtrirjen më të ngushtë që shpjegon simptomën
• Autorizimi në anën e serverit u revokua kur një person ose pajisje u largua
• Shtrëngimi i duarve u shpjegua dhe një aplikacion i palidhur u ritestua
• Payload MDM ose profili i menaxhimit u përditësua, përndryshe certifikata kthehet

Nëse certifikata është kthyer pas një rinisjeje, puna nuk ka mbaruar: diçka e zotëron dhe e riinstalon. Gjeje atë pronar para se të fshish përsëri, sepse fshirja e tretë do të sillet saktësisht si dy të parat.