Jinsi ya kuondoa cheti cha VPN kilichopitwa na wakati kutoka hazina ya uaminifu

Mteja wako wa VPN ameondolewa, wasifu umetoweka kutoka Mipangilio, na handaki bado linainuka na vitambulisho vya zamani. Au unaufuta, unawasha upya, na asubuhi inayofuata unaukuta umerudi. Hakuna hata moja ya haya ni kitufe cha kufuta kilichoharibika. Wasifu ni usanidi; cheti ni nyenzo ya ufunguo pamoja na uamuzi wa uaminifu uliorekodiwa katika hazina ambayo wasifu unaielekeza tu. Kipi kati ya hivyo viwili umeshikilia ndicho huamua maana ya 'ondoa'.

Wasifu si cheti

Katika usanidi wa VPN, vitu vitatu tofauti huitwa 'cheti'. Utambulisho wa mteja ni cheti cha jani lenye ufunguo wa faragha, na lango huitumia kuamua wewe ni nani. Cheti cha jani cha seva yenyewe na mpatanishi wake ni kile mteja wako hukagua anapounganisha. Nanga ya uaminifu, kwa kawaida cheti cha mzizi au CA ya faragha, ndiyo inayofanya mnyororo uweze kuthibitishwa kabisa. RFC 5280 huvitta hivi nanga ya uaminifu, mpatanishi na huluki ya mwisho, na mnyororo huthibitishwa tu wakati kila kiungo kinatia saini kiungo kilicho chini yake.

Futa utambulisho na kifaa kimoja kinapoteza ufikiaji. Futa nanga na kila programu inayothibitisha dhidi ya hazina hiyo inapoteza uwezo wa kukagua chochote kilichotolewa chini yake, ikiwa ni pamoja na miunganisho isiyohusiana kabisa na VPN. Utengano huo ndio hatari yote hapa: mzizi uliosakinishwa kwa lango moja mara nyingi ni mzizi uleule unaotia saini lango la ndani, seva ya barua au kioo cha vifurushi. Kumbuka ni kipi kati ya viwili ulivyoshikilia.

Umiliki huamua kama ufutaji unabaki umefutwa. Kwenye kompyuta mpakato unayomiliki, wewe pekee unaweza kurudisha cheti. Kwenye kifaa kinachosimamiwa, wasifu wa usanidi au mzigo wa MDM unaweza kukisakinisha upya kwenye ukaguzi unaofuata, ndiyo sababu 'kinarudi' na ndiyo sababu kufuta kwa nguvu zaidi hakusaidii.

Tambua ni hazina ipi bado inakishikilia

Watu huanza kwenye programu ya Mipangilio, ambayo ndiyo mahali pekee ambapo cheti hakihifadhiwi. Maeneo halisi ni hazina za uaminifu za mfumo, hazina ya kivinjari yenyewe na hazina ya faragha ya programu.

Linganisha kwa nambari ya mfululizo au alama ya kidole, kamwe kwa jina linaloonekana. Majina yanayoonekana huwekwa na aliyetoa cheti na hutumika tena: 'Example VPN' inaweza kuwa vyeti vitatu vyenye funguo tatu tofauti, kimoja bado kinatumika kila siku.

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

Kwenye macOS zana ya security hutoa ukweli huo huo, na find-identity huonyesha vyeti vipi bado vina ufunguo wa faragha uliounganishwa:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

Futa kitu nyembamba, acha mtoaji wa pamoja

Hamisha kabla ya kufuta. Bila nakala rudufu, urejeshaji pekee ni kutoa tena, ambayo kwenye CA ya faragha inamaanisha kurudi kwa anayesimamia PKI. PFX iliyohamishwa pia ni kile unakabidhi ikiwa uondoaji unaonekana kuwa uamuzi mbaya.

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

Bendera -user ndiyo ambayo watu huiacha kwa bahati mbaya. Bila yake, certutil hufanya kazi kwenye hazina ya mashine badala yake, kumaanisha shell iliyoinuliwa, seti tofauti ya vyeti na eneo la athari ambalo sasa linajumuisha kila akaunti nyingine kwenye mashine.

Kwenye macOS na Linux umbo ni lilelile: tambua, hamisha, kisha ondoa kutoka hazina nyembamba zaidi inayoeleza dalili. Kuondoa faili iliyo chini ya /usr/local/share/ca-certificates na kuendesha tena update-ca-certificates kunatosha; --fresh husaidia tu wakati viungo vya ishara katika /etc/ssl/certs tayari haviendani. Mifumo ya familia ya RHEL huweka nanga katika /etc/pki/ca-trust/source/anchors, ambapo trust anchor --remove hufanya kazi hiyo hiyo.

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

Kabla ya kufuta cheti cha CA, angalia kipi kingine kinachounganishwa nacho. Kuorodhesha wahusika ndani ya kifungu ni ukaguzi wa mistari miwili na hujibu kama nanga hiyo inafanya kazi nyingine:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

Kufuta faili si kubatilisha utambulisho

Ufutaji wa ndani huondoa nakala moja. Ufunguo wa faragha bado unaweza kukaa katika p12 iliyounganishwa na tikiti ya zamani, folda ya nakala rudufu au kompyuta ya pili iliyowekwa wakati huo huo. Ikiwa huu ulikuwa utambulisho wa mteja, lango linaendelea kukubali nakala yoyote ya ufunguo huo hadi utambulisho ukataliwa upande wa seva.

Kwa OpenVPN PKI, hiyo inamaanisha kubatilisha cheti na kuhakikisha kuwa CRL inayorejelewa na crl-verify ni ya sasa; easyrsa revoke kisha easyrsa gen-crl ni toleo fupi. Kwa lango lililofungamanishwa na mtoa utambulisho, zima mtumiaji au ondoa kifaa huko, kwa sababu cheti ni kitambulisho kimoja tu kwenye mchezo. Kufuta nakala ya ndani wakati akaunti inabaki hai kunaonekana kama usafishaji na sivyo.

Kazi ya tukio ina mpangilio tofauti: hifadhi cheti, nambari yake ya mfululizo na rekodi ya ubatilishaji kwanza, kisha futa na ubutilishe. Rekodi hizo hazigharimu chochote na hazihitaji kuacha kitambulisho kinachofanya kazi mahali.

Thibitisha kwa kupeana mkono na programu ya pili

Kagua mnyororo kutoka nje, si kutoka kwenye orodha ya hazina uliyohariri hivi punde. Hazina huonyesha mabadiliko yako; kupeana mkono huonyesha matokeo.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

Msimbo wa kurudi 0 unamaanisha nanga zilizobaki bado zinathibitisha lango. Hitilafu ya mnyororo baada ya kuondoa nanga ni matokeo yanayotarajiwa, na inathibitisha kuwa uligonga nanga inayotumika si nakala katika hazina ambayo mteja haisomi kamwe. Ikiwa muunganisho bado unafanya kazi, tafuta nakala ya pili, hazina iliyojengwa ndani ya programu au cheti kilichobandikwa, yote ni ya kawaida kwa wateja wanaokuja na orodha yao ya uaminifu.

Kisha jaribu kitu kisichohusiana: tovuti ya ndani, mteja wa barua, kioo cha vifurushi. Hiyo hupima eneo la athari kwa bei ndogo, kabla dirisha la mabadiliko halijafungwa.

• Wajibu umetambuliwa kama utambulisho, mpatanishi au nanga ya uaminifu
• Nambari ya mfululizo na alama ya kidole zimerekodiwa, na nakala imehamishwa hadi mahali palipoidhinishwa
• Ufutaji umefanyika katika wigo nyembamba zaidi unaoeleza dalili
• Idhini upande wa seva imebatilishwa wakati mtu au kifaa kilipoondoka
• Kupeana mkono kumeelezwa, na programu moja isiyohusiana imejaribiwa tena
• Mzigo wa MDM au wasifu wa usimamizi umesasishwa, la sivyo cheti kinarudi

Ikiwa cheti kimerudi baada ya kuwasha upya, kazi haijakamilika: kitu kinakimiliki na kukisakinisha upya. Pata mmiliki huyo kabla ya kufuta tena, kwa sababu ufutaji wa tatu utafanya kama vile mbili za kwanza.