Ni vidhibiti gani vinavyoathiriwa na cheti cha ziada cha mzizi?

Unapata cheti cha mzizi ambacho hakipaswi kuwepo, na swali la kwanza ni utambulisho wa nani inaweza kuiga. Jibu la uaminifu linategemea programu gani inashauriana na hifadhi hiyo na jinsi VPN yako inavyothibitisha lango lake. Kivinjari, msimamizi wa vifurushi na mteja wa VPN wenye alama ya vidole iliyobandikwa si lazima washiriki uamuzi mmoja wa uaminifu. Panga vidhibiti kabla ya kuamua wigo.

Mzizi katika hifadhi ya mfumo si ufunguo wa jumla

Kusakinisha mzizi hufanya vyeti vilivyosainiwa na ufunguo huo vikubalike kwa programu zinazotumia hifadhi iliyoathiriwa. Hii haifanyi vikubalike kiotomatiki kila mahali, kwa sababu baadhi ya programu huleta kifurushi chao au hukagua thamani iliyobandikwa. Pia haithibitishi kwamba mtu alifanya kazi ya msimbo kwenye mashine; mabadiliko ya uaminifu ni uwezo mmoja kati ya kadhaa. Chukua cheti kama ugunduzi unaohitaji kuwekewa mipaka, si kama tukio zima.

Hifadhi ni muhimu kama cheti: kifurushi cha ngazi ya mtumiaji na nanga ya ngazi ya mfumo hufikia watumiaji tofauti.

Panga kila kidhibiti na chanzo chake cha uaminifu

Andika kila sehemu inayothibitisha vyeti kwa mtiririko wa kazi ulioathiriwa: kivinjari, msimamizi wa vifurushi, mteja wa barua pepe, VPN. Kisha pata chanzo cha uaminifu ambacho kila kimoja kinasoma.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Orodha ya saraka inaonyesha nanga zilizoongezwa ndani ya nchi kwenye mifumo ya mtindo wa Debian, na orodha ya uaminifu inaonyesha kile hifadhi ya mfumo inavyoonyesha kwa sasa. Kivinjari chenye hifadhi yake hakitaonekana hapo, na programu ya Java au Python inaweza kutumia kifurushi kingine. Rekodi ni maingizo gani yanayotarajiwa na yapi hayatarajiwi, ukitumia alama ya vidole badala ya jina linaloonyeshwa pekee. Orodha hiyo ndiyo inayohitajika na mwitikio wa tukio kabla ya kufuta kitu chochote.

Kagua uthibitishaji wa rika wa VPN yenyewe

VPN yenye CA ya faragha au alama ya vidole iliyo wazi huthamini lango kulingana na mpangilio wake mwenyewe. Linganisha kile mteja anachotarajia na kile lango linawasilisha.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Matokeo hutoa alama ya vidole ya SHA-256 na somo la cheti kinachowasilishwa na mwisho wa njia, ambazo unaweza kulinganisha na thamani iliyosanidiwa. OpenVPN ina chaguo la alama ya vidole ya rika ambalo hufanya ulinganisho huo kwa handaki bila kuhitaji hifadhi ya mfumo ikubali mtia saini. Uhuru huo ni muhimu kwa handaki na hausemi chochote kuhusu kivinjari. Pia haisaidii ikiwa alama ya vidole inayotarajiwa ilinakiliwa kutoka kwenye muunganisho wa kutiliwa shaka tangu mwanzo.

Weka mipaka ya tukio zaidi ya cheti

Tumia utaratibu wa mmiliki wa kifaa kuondoa nanga zisizoidhinishwa na kutafuta mabadiliko ambayo kwa kawaida huzifuata: huduma mpya, wateja waliobadilishwa, mipangilio ya proksi iliyobadilishwa. Kwenye mashine inayosimamiwa, thibitisha mpangilio halali kabla ya kufuta nyenzo ambazo programu nyingine zinategemea. Kwa kila kidhibiti, rekodi uaminifu wake unatoka wapi, utambulisho gani unatarajia na jinsi ulivyothibitisha kwamba mpangilio wa sasa ni sahihi. Handaki inayofanya kazi baada ya kusafisha ni uchunguzi mmoja, si uthibitisho kwamba mwisho wa njia ni safi.

Kisha jaribu tena mtiririko wa kazi uliotumia hifadhi, kwa sababu kuondoa nanga kunaweza kuvunja huduma ya ndani iliyokuwa inaitegemea kwa haki. Urejeshaji umekamilika wakati mahusiano ya uaminifu yanayotarajiwa yanafanya kazi na yasiyotarajiwa hayafanyi kazi.