На које валидаторе утиче додатни коренски сертификат?

Нађете коренски сертификат коме тамо није место, а прво је питање чији идентитет може да опонаша. Искрен одговор зависи од тога који софтвер прегледа то складиште и како ваш VPN проверава свој приступник. Прегледач, менаџер пакета и VPN клијент са закаченим отиском не деле нужно исту одлуку о поверењу. Мапирајте валидаторе пре него што одредите обим.

Корен у системском складишту није универзални кључ

Инсталација корена чини сертификате потписане тим кључем прихватљивим програмима који користе погођено складиште. То их не чини аутоматски прихватљивим свуда јер неке апликације доносе сопствени пакет или проверавају закачену вредност. То такође не доказује да је неко извршио код на рачунару; промена поверења једна је од неколико могућности. Третирајте сертификат као налаз чији обим треба одредити, а не као цео инцидент.

Складиште је једнако важно као сертификат: пакет на нивоу корисника и сидро на нивоу система стижу до различитих потрошача.

Мапирајте сваки валидатор и његов извор поверења

Запишите сваку компоненту која валидира сертификате за погођене токове рада: прегледач, менаџер пакета, поштански клијент, VPN. Затим пронађите извор поверења који свака од њих чита.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Списак директоријума приказује локално додата сидра на системима попут Дебијана, а списак поверења приказује шта системско складиште тренутно излаже. Прегледач са сопственим складиштем неће се тамо појавити, а Java или Python апликација може користити још један пакет. Забележите који су уноси очекивани, а који нису, користећи отисак, а не само приказано име. Тај списак је оно што је потребно особи која реагује на инцидент пре него што било шта избрише.

Проверите сопствену валидацију партнера у VPN-у

VPN са приватним CA-ом или експлицитним отиском процењује приступник према сопственој конфигурацији. Упоредите шта клијент очекује са оним што приступник представља.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Излаз даје SHA-256 отисак и субјекат сертификата који крајња тачка представља, а можете их упоредити са конфигурисаним вредношћу. OpenVPN има опцију отиска партнера која ту упоредбу обавља за тунел без потребе да системско складиште прихвати потписника. Та независност је корисна за тунел и не говори ништа о прегледачу. Такође не помаже ако је очекивани отисак од почетка копиран са сумњиве везе.

Одредите обим инцидента изван сертификата

Поступком власника уређаја уклоните неовлашћена сидра и потражите промене које их обично прате: нове услуге, измењене клијенте, промењене поставке проксија. На управљаном рачунару потврдите легитимну конфигурацију пре него што избришете материјал од кога зависи други софтвер. За сваки валидатор забележите одакле долази његово поверење, који идентитет очекује и како сте потврдили да је тренутна конфигурација исправна. Радни тунел после чишћења једно је запажање, а не доказ да је крајња тачка чиста.

Затим поново тестирајте токове рада који су користили складиште јер уклањање сидра може покварити унутрашњу услугу која се на њега легитимно ослањала. Опоравак је завршен када очекивани односи поверења раде, а неочекивани не.