பழைய VPN சான்றிதழை நம்பிக்கைக் களஞ்சியத்திலிருந்து எவ்வாறு அகற்றுவது

உங்கள் VPN கிளையண்ட் நிறுவல் நீக்கப்பட்டு, சுயவிவரம் அமைப்புகளிலிருந்து போய்விட்டது, ஆனால் சுரங்கப்பாதை பழைய சான்றுகளுடனேயே எழுகிறது. அல்லது அதை நீக்கி, மீட்டமைத்து, மறுநாள் காலையில் மீண்டும் காண்கிறீர்கள். இவை எதுவும் பழுதடைந்த நீக்கு பொத்தான் அல்ல. சுயவிவரம் என்பது உள்ளமைவு; சான்றிதழ் என்பது விசைப் பொருள் மற்றும் சுயவிவரம் மட்டும் சுட்டும் களஞ்சியத்தில் பதிவு செய்யப்பட்ட நம்பிக்கை முடிவு. இவற்றில் எது உங்கள் கையில் உள்ளது என்பதே 'அகற்று' எதைக் குறிக்க வேண்டும் என்பதைத் தீர்மானிக்கிறது.

சுயவிவரம் சான்றிதழ் அல்ல

VPN அமைப்பில் மூன்று வெவ்வேறு பொருட்கள் 'சான்றிதழ்' என அழைக்கப்படுகின்றன. கிளையண்ட் அடையாளம் என்பது தனிப்பட்ட விசையுடன் கூடிய இலைச் சான்றிதழ், நீங்கள் யார் என்பதைத் தீர்மானிக்க நுழைவாயில் அதைப் பயன்படுத்துகிறது. சேவையகத்தின் சொந்த இலைச் சான்றிதழும் அதன் இடைநிலையும் உங்கள் கிளையண்ட் இணைக்கும்போது சரிபார்ப்பவை. நம்பிக்கை நங்கூரம், பொதுவாக வேர் அல்லது தனியார் CA சான்றிதழ், சங்கிலியை முழுமையாகச் சரிபார்க்கக்கூடியதாக ஆக்குவது அதுவே. RFC 5280 இவற்றை நம்பிக்கை நங்கூரம், இடைநிலை மற்றும் இறுதி நிறுவனம் என அழைக்கிறது, ஒவ்வொரு இணைப்பும் கீழுள்ள இணைப்பில் கையொப்பமிடும் வரை மட்டுமே சங்கிலி செல்லுபடியாகும்.

அடையாளத்தை நீக்கினால் ஒரு சாதனம் அணுகலை இழக்கும். நங்கூரத்தை நீக்கினால் அந்தக் களஞ்சியத்திற்கு எதிராகச் சரிபார்க்கும் ஒவ்வொரு பயன்பாடும் அதன் கீழ் வெளியிடப்பட்ட எதையும் சரிபார்க்கும் திறனை இழக்கும், VPN உடன் எந்தத் தொடர்பும் இல்லாத இணைப்புகள் உட்பட. இந்த சமச்சீரின்மையே இங்குள்ள முழு ஆபத்து: ஒரு நுழைவாயிலுக்கு நிறுவப்பட்ட வேர் பெரும்பாலும் உள் இணையதளம், மின்னஞ்சல் சேவையகம் அல்லது தொகுப்பு கண்ணாடியில் கையொப்பமிடும் அதே வேர். இவற்றில் எது உங்கள் கையில் உள்ளது என்பதை நினைவில் கொள்ளுங்கள்.

உரிமையே நீக்கம் நீக்கப்பட்டதாக நீடிக்குமா என்பதைத் தீர்மானிக்கிறது. உங்களுக்குச் சொந்தமான மடிக்கணினியில் சான்றிதழை மீண்டும் வைக்க உங்களால் மட்டுமே முடியும். நிர்வகிக்கப்படும் சாதனத்தில் உள்ளமைவு சுயவிவரம் அல்லது MDM பேலோடு அடுத்த பதிவில் அதை மீண்டும் நிறுவலாம், அதனால்தான் அது 'திரும்பி வருகிறது' மற்றும் கடுமையாக நீக்குவது உதவாது.

இது இன்னும் எந்தக் களஞ்சியத்தில் உள்ளது என்பதைக் கண்டறியுங்கள்

மக்கள் அமைப்புகள் பயன்பாட்டில் தொடங்குகிறார்கள், அதுதான் சான்றிதழ் சேமிக்கப்படாத ஒரே இடம். உண்மையான இடங்கள் இயக்க முறைமையின் நம்பிக்கைக் களஞ்சியங்கள், உலாவியின் சொந்தக் களஞ்சியம் மற்றும் பயன்பாட்டின் தனியார் களஞ்சியம்.

வரிசை எண் அல்லது கைரேகையில் பொருத்துங்கள், காட்சிப் பெயரில் ஒருபோதும் வேண்டாம். காட்சிப் பெயர்களைச் சான்றிதழை வழங்கியவர் அமைக்கிறார், அவை மீண்டும் பயன்படுத்தப்படுகின்றன: 'Example VPN' என்பது மூன்று வெவ்வேறு விசைகளுடன் மூன்று சான்றிதழ்களாக இருக்கலாம், ஒன்று இன்னும் தினசரி பயன்பாட்டில் உள்ளது.

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

macOS இல் security கருவி அதே உண்மைகளைத் தருகிறது, மேலும் find-identity எந்தச் சான்றிதழ்களுக்கு இன்னும் தனிப்பட்ட விசை இணைக்கப்பட்டுள்ளது என்பதைக் காட்டுகிறது:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

குறுகிய பொருளை நீக்குங்கள், பகிரப்பட்ட வழங்குநரை வைத்திருங்கள்

நீக்கும் முன் ஏற்றுமதி செய்யுங்கள். காப்புப்பிரதி இல்லாமல் ஒரே மீட்பு மீண்டும் வழங்குவதே, தனியார் CA இல் இதன் பொருள் PKI ஐ இயக்குபவரிடம் திரும்பிச் செல்வது. ஏற்றுமதி செய்யப்பட்ட PFX நீக்கம் தவறான முடிவாக மாறினால் நீங்கள் ஒப்படைப்பதும் அதுவே.

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

இந்த -user கொடியைத்தான் மக்கள் தற்செயலாக விட்டுவிடுகிறார்கள். அது இல்லாமல் certutil இயந்திரக் களஞ்சியத்தில் வேலை செய்கிறது, அதாவது உயர்த்தப்பட்ட ஷெல், வேறு சான்றிதழ் தொகுப்பு மற்றும் இப்போது இயந்திரத்தின் மற்ற எல்லா கணக்குகளையும் உள்ளடக்கிய தாக்க வீச்சு.

macOS மற்றும் Linux இல் வடிவம் ஒன்றே: அடையாளம் காணுங்கள், ஏற்றுமதி செய்யுங்கள், பிறகு அறிகுறியை விளக்கும் மிகக் குறுகிய களஞ்சியத்திலிருந்து அகற்றுங்கள். /usr/local/share/ca-certificates இன் கீழ் உள்ள கோப்பை நீக்கி மீண்டும் update-ca-certificates இயக்கினால் போதும்; --fresh குறியீட்டு இணைப்புகள் /etc/ssl/certs இல் ஏற்கனவே சீரற்றதாக இருக்கும்போது மட்டுமே உதவும். RHEL குடும்ப அமைப்புகள் நங்கூரங்களை /etc/pki/ca-trust/source/anchors இல் வைத்திருக்கின்றன, அங்கு trust anchor --remove அதே வேலையைச் செய்கிறது.

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

CA சான்றிதழை நீக்கும் முன் அதனுடன் வேறு என்ன சங்கிலியாக இணைகிறது என்பதைச் சரிபார்க்கவும். தொகுப்பில் உள்ள பொருள்களைப் பட்டியலிடுவது இரண்டு வரிச் சரிபார்ப்பு, அந்த நங்கூரம் வேறு வேலை செய்கிறதா என்பதற்குப் பதிலளிக்கிறது:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

கோப்பை நீக்குவது அடையாளத்தை ரத்து செய்வது அல்ல

உள்ளூர் நீக்கம் ஒரு நகலை அகற்றும். தனிப்பட்ட விசை பழைய டிக்கெட்டுடன் இணைக்கப்பட்ட p12 இல், காப்புப்பிரதி கோப்புறையில் அல்லது அதே நேரத்தில் அமைக்கப்பட்ட இரண்டாவது மடிக்கணினியில் இன்னும் இருக்கலாம். இது கிளையண்ட் அடையாளமாக இருந்தால், அடையாளம் சேவையகப் பக்கத்தில் மறுக்கப்படும் வரை நுழைவாயில் அந்த விசையின் எந்த நகலையும் ஏற்றுக்கொண்டே இருக்கும்.

ஒரு OpenVPN PKI க்கு இதன் பொருள் சான்றிதழை ரத்து செய்து crl-verify குறிப்பிடும் CRL தற்போதையதா என்பதை உறுதிசெய்வது; easyrsa revoke பிறகு easyrsa gen-crl குறுகிய பதிப்பு. அடையாள வழங்குநருடன் இணைக்கப்பட்ட நுழைவாயிலுக்கு, அங்கு பயனரை முடக்கவும் அல்லது சாதனத்தை அகற்றவும், ஏனெனில் சான்றிதழ் விளையாட்டில் ஒரு சான்று மட்டுமே. கணக்கு செயலில் இருக்கும்போது உள்ளூர் நகலை நீக்குவது சுத்தம் போலத் தெரிகிறது, ஆனால் அல்ல.

சம்பவப் பணிக்கு வேறு வரிசை உண்டு: முதலில் சான்றிதழ், அதன் வரிசை எண் மற்றும் ரத்து பதிவைப் பாதுகாக்கவும், பிறகு நீக்கி ரத்து செய்யவும். அந்தப் பதிவுகள் எதுவும் செலவாகாது, செயல்படும் சான்றை அப்படியே விடவும் தேவையில்லை.

கைக்குலுக்கல் மற்றும் இரண்டாவது பயன்பாட்டால் சரிபார்க்கவும்

சங்கிலியை வெளியிலிருந்து சரிபார்க்கவும், நீங்கள் இப்போது திருத்திய களஞ்சியப் பட்டியலிலிருந்து அல்ல. களஞ்சியம் உங்கள் திருத்தத்தைக் காட்டுகிறது; கைக்குலுக்கல் முடிவைக் காட்டுகிறது.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

திரும்பும் குறியீடு 0 என்றால் மீதமுள்ள நங்கூரங்கள் இன்னும் நுழைவாயிலைச் சரிபார்க்கின்றன. நங்கூரத்தை அகற்றிய பிறகு சங்கிலிப் பிழை எதிர்பார்க்கப்பட்ட முடிவு, மேலும் நீங்கள் பயன்பாட்டில் உள்ள நங்கூரத்தைத் தாக்கினீர்களே அல்லாது கிளையண்ட் ஒருபோதும் படிக்காத களஞ்சியத்தில் உள்ள நகலை அல்ல என்பதை உறுதிப்படுத்துகிறது. இணைப்பு இன்னும் வேலை செய்தால், இரண்டாவது நகல், பயன்பாட்டில் உள்ளமைந்த களஞ்சியம் அல்லது பின்னப்பட்ட சான்றிதழைத் தேடுங்கள்; இவை அனைத்தும் தங்கள் சொந்த நம்பிக்கைப் பட்டியலைக் கொண்டு வரும் கிளையண்டுகளில் பொதுவானவை.

பிறகு தொடர்பில்லாத ஒன்றைச் சோதிக்கவும்: உள் தளம், மின்னஞ்சல் கிளையண்ட், தொகுப்பு கண்ணாடி. இது மாற்ற சாளரம் மூடுவதற்கு முன் தாக்க வீச்சை மலிவாக அளவிடுகிறது.

• பங்கு அடையாளம், இடைநிலை அல்லது நம்பிக்கை நங்கூரம் என அடையாளம் காணப்பட்டது
• வரிசை எண் மற்றும் கைரேகை பதிவு செய்யப்பட்டு, நகல் அங்கீகரிக்கப்பட்ட இடத்திற்கு ஏற்றுமதி செய்யப்பட்டது
• அறிகுறியை விளக்கும் மிகக் குறுகிய வரம்பில் நீக்கம் செய்யப்பட்டது
• நபர் அல்லது சாதனம் வெளியேறியபோது சேவையகப் பக்க அனுமதி ரத்து செய்யப்பட்டது
• கைக்குலுக்கல் விளக்கப்பட்டு, தொடர்பில்லாத ஒரு பயன்பாடு மீண்டும் சோதிக்கப்பட்டது
• MDM பேலோடு அல்லது நிர்வாக சுயவிவரம் புதுப்பிக்கப்பட்டது, இல்லையேல் சான்றிதழ் திரும்பி வரும்

மீட்டமைத்த பிறகு சான்றிதழ் திரும்பி வந்தால், வேலை முடியவில்லை: ஏதோ அதை உரிமையாகக் கொண்டு மீண்டும் நிறுவுகிறது. மீண்டும் நீக்கும் முன் அந்த உரிமையாளரைக் கண்டறியுங்கள், ஏனெனில் மூன்றாவது நீக்கம் முதல் இரண்டைப் போலவே நடந்துகொள்ளும்.