TLS பிழைகள் நிறுவன VPN இல் மட்டும்: சரியான நம்பிக்கை சேமகத்தை சரிசெய்யுங்கள்

Go கட்டுமானம், Composer நிறுவல் மற்றும் Python வாடிக்கையாளர் அனைத்தும் வீட்டில் வேலை செய்கின்றன, அனைத்தும் நிறுவனத்தின் VPN உள்ளே தோல்வியடைகின்றன. இந்த வடிவம் பயன்பாட்டைப் பற்றி அல்ல, பாதையைப் பற்றிச் சொல்கிறது. சுரங்கப்பாதையில் ஏதோ உங்கள் செயல்முறை பார்க்கும் சான்றிதழ் சங்கிலியை மாற்றியது, அல்லது எந்தச் சங்கிலியும் வருவதற்கு முன்பே கைக்குலுக்கலை மீட்டமைத்தது. இரண்டு குறைகளும் முனையத்தில் ஒரே மாதிரி தெரிகின்றன, முற்றிலும் வேறு பதில்களைக் கோருகின்றன.

மூன்று செய்திகள், மூன்று வழிமுறைகள்

x509 certificate signed by unknown authority பிழை என்பது ஒரு சங்கிலி கட்டப்பட்டது, அதன் வேர் அந்தச் செயல்முறை பயன்படுத்தும் நம்பிக்கை சேமகத்தில் இல்லை என்பதாகும். self-signed certificate in certificate chain பிழை பொதுவாக ஒரு ஆய்வு ப்ராக்ஸி தன் சொந்தச் சான்றிதழுடன் பதிலளித்தது என்பதாகும், அது உங்கள் இயக்கச் சூழல் அறியாத சங்கிலி. கைக்குலுக்கலின் போது SSL EOF என்பது பயன்படுத்தக்கூடிய எந்தச் சான்றிதழும் அனுப்பப்படுவதற்கு முன்பே இணைப்பு மூடப்பட்டது என்பதாகும், அது ClientHello ஐ நிராகரிக்கும் இடைநிலைச் சாதனம், நம்பிக்கைச் சிக்கலே அல்ல.

பாதுகாப்பற்ற கொடியைச் சேர்த்தால் மூன்று செய்திகளும் மறைந்துவிடும், ஆனால் இடைமறிப்பு அதே இடத்தில் இருக்கும், உண்மையான தாக்குபவரைப் பிடிக்கும் சரிபார்ப்பையும் அது நீக்கிவிடும்.

செயல்முறை உண்மையில் படிக்கும் தொகுப்பைக் கண்டறியுங்கள்

Windows சேமகத்தில் நிறுவப்பட்ட நிறுவன வேர், கணினி சேமகத்தைப் பார்க்கும் உலாவிகளையும் .NET பயன்பாடுகளையும் சரிசெய்கிறது. கொள்கலனுக்குள் இயங்கும் கட்டுமானத்திற்கு அது எதுவும் செய்யாது, ஏனெனில் அதற்குத் தன் சொந்த CA தொகுப்பு உண்டு, certifi பயன்படுத்தும் Python செயல்முறைக்கோ தன் உள்ளடங்கிய பட்டியலைப் பயன்படுத்தும் Node செயல்முறைக்கோ எதுவும் செய்யாது. Go பைனரி இயங்கும் சூழலின் கணினி குளத்தைப் படிக்கிறது, அதாவது கொள்கலன், மடிக்கணினி அல்ல. எனவே ஒரு இயந்திரம் ஒரே நேரத்தில் வேலை செய்யும் உலாவியையும் தோல்வியடையும் கட்டுமானக் கருவியையும் தருகிறது.

ஊகிக்காமல் கருவியையே கேளுங்கள். python3 -c "import ssl; print(ssl.get_default_verify_paths())" Python அணுகப்போகும் கோப்புகளை அச்சிடுகிறது, node -e "console.log(process.env.NODE_EXTRA_CA_CERTS)" மேலெழுதல் ஏற்கனவே அமைக்கப்பட்டுள்ளதா என்பதைக் காட்டுகிறது. கொள்கலனுக்கு, அதே சரிபார்ப்பை படத்திற்குள் இயக்குங்கள், ஏனெனில் கட்டுமானம் உண்மையில் பயன்படுத்துவது அந்தச் சூழலே.

கட்டுமானம் இயங்கும் இடத்திலேயே ஒரு வேரை நிறுவுங்கள்

ஆய்வு வேரை IT இடமிருந்து PEM கோப்பாகப் பெற்று, நம்புவதற்கு முன் அதன் விரல்ரேகையை தனி வழித்தடத்தில் சரிபார்க்கவும். Debian அடிப்படையிலான படங்களில், அதை /usr/local/share/ca-certificates/ க்கு நகலெடுத்து update-ca-certificates இயக்கவும்; RHEL குடும்பப் படங்கள் கோப்பை /etc/pki/ca-trust/source/anchors/ இல் வைத்த பிறகு update-ca-trust பயன்படுத்துகின்றன. கொள்கலன் கட்டுமானத்தில், தோல்வியடையும் கட்டளைக்கு முன் அந்தப் படிகளைச் சேர்க்கவும், அதனால் அடுக்கு சார்பு நிறுவலுக்கு மேலே தேக்ககமாகும்.

உள்ளூர் devcontainer க்கு, PEM ஐ ஏற்றி தொடக்கத்தில் அதே புதுப்பிப்புக் கட்டளையை இயக்கவும், வேறு யாரும் மீண்டும் உருவாக்க முடியாத தனிப்பட்ட படத்தில் அதைச் சுட்டு வைப்பதற்குப் பதிலாக. தங்கள் தொகுப்பைக் கொண்டு வரும் கருவிகளுக்கு அவற்றின் சொந்த ஆவணப்படுத்தப்பட்ட மேலெழுதல் தேவை: pip இல் சான்றிதழ் அமைப்பு உள்ளது, npm இல் cafile அமைப்பு உள்ளது, மற்றவை பெரும்பாலும் நிலையான சூழல் மாறிகளை ஏற்கின்றன.

இது எந்தச் சான்றிதழையும் ஏற்பதற்குச் சமம் அல்ல. ஆய்வு செய்யும் தரப்பிடமிருந்து பெற்ற ஒரு குறிப்பிட்ட வேரை ஒரு சூழலில் சேர்க்கிறீர்கள், மற்ற ஒவ்வொரு சங்கிலிக்கும் சரிபார்ப்பு இயக்கத்திலேயே இருக்கும். எந்தக் கோப்பு சேர்க்கப்பட்டது, எப்போது காலாவதியாகும் என்பதைப் பதிவு செய்யுங்கள், ஏனெனில் ஆய்வு வேரும் வேறு எந்த CA போலவே புதுப்பிக்கப்படுகிறது.

சான்றிதழுக்கு முன்பே கைக்குலுக்கல் இறக்கும்போது

எதுவும் முன்வைக்கப்படாவிட்டால், நம்பிக்கை சேமகத்தின் எந்த மாற்றமும் உதவாது. அதே கோரிக்கையை சுரங்கப்பாதை இயக்கத்தில் மற்றும் நிறுத்தத்தில் ஒப்பிட்டு, பிறகு openssl s_client -connect host:443 -servername host -showcerts மூலம் சங்கிலியை நேரடியாக ஆய்வு செய்யுங்கள். VPN க்கு வெளியே முழுமையாகி உள்ளே மீட்டமைக்கப்படும் இணைப்பு இடைநிலைச் சாதனத்தின் கொள்கை முடிவு, தீர்வு அந்தப் புரவலனுக்கான விதிவிலக்கே, இன்னொரு சான்றிதழ் அல்ல. தொகுப்பு பதிவேடு அல்லது API முனை மாற்றமின்றி கடக்க அனுமதிக்கக் கோரவும்.

கருவி VPN ஐத் தவிர்க்கும் வகையில் சுரங்கப்பாதையைப் பிரிப்பது அந்தப் போக்குவரத்திற்கான ஆய்வைத் தவிர்க்கிறது, அது கொள்கையை மீறக்கூடும், கருவியை நம்பகமானதாகவும் ஆக்காது.

ஒவ்வொரு கருவிக்கும் முடிவைப் பதிவு செய்யுங்கள்

பைனரி, அது படிக்கும் நம்பிக்கைக் கோப்பு, விளையாட்டில் உள்ள சூழல் மாறி மற்றும் அனுமதிக்கப்பட்ட விதிவிலக்கைப் பட்டியலிடும் சிறு குறிப்பு அடுத்த நபரின் முழு நோயறிதலையும் சேமிக்கிறது. குறிப்பை மடிக்கணினி வாரியாக அல்ல, கருவி வாரியாக வைத்திருங்கள், ஏனெனில் மாறிய விஷயம் மடிக்கணினியாக இருப்பது அரிது.

டிக்கெட்டில் இரண்டு வாக்கியங்களைத் தனித்தனியாக வைத்திருங்கள்: நாங்கள் ஒரு குறிப்பிட்ட நிறுவன வேரை நிறுவினோம், மேலும் சரிபார்ப்பை முடக்கினோம். அவற்றில் ஒன்று மட்டுமே ஆதரவு நடவடிக்கை.