అదనపు రూట్ సర్టిఫికెట్ ఏ ధృవీకర్తలను ప్రభావితం చేస్తుంది?

అక్కడ ఉండకూడని రూట్ సర్టిఫికెట్ మీకు దొరుకుతుంది, మొదటి ప్రశ్న ఏమిటంటే అది ఎవరి గుర్తింపును అనుకరించగలదు. నిజాయితీగా సమాధానం ఏ సాఫ్ట్‌వేర్ ఆ స్టోర్‌ను సంప్రదిస్తుంది మరియు మీ VPN తన గేట్‌వేను ఎలా ధృవీకరిస్తుంది అనే దానిపై ఆధారపడి ఉంటుంది. బ్రౌజర్, ప్యాకేజీ మేనేజర్ మరియు పిన్ చేయబడిన వేలిముద్ర ఉన్న VPN క్లయింట్ ఒకే విశ్వాస నిర్ణయాన్ని పంచుకోవాలని లేదు. పరిధిని నిర్ణయించే ముందు ధృవీకర్తలను మ్యాప్ చేయండి.

సిస్టమ్ స్టోర్‌లోని రూట్ సార్వత్రిక కీ కాదు

రూట్‌ను ఇన్‌స్టాల్ చేయడం ఆ కీతో సంతకం చేసిన సర్టిఫికెట్లను ప్రభావిత స్టోర్‌ను ఉపయోగించే ప్రోగ్రాములకు ఆమోదయోగ్యం చేస్తుంది. కొన్ని అప్లికేషన్లు తమ సొంత బండిల్‌ను తెచ్చుకోవడం లేదా పిన్ చేసిన విలువను తనిఖీ చేయడం వల్ల ఇది వాటిని స్వయంచాలకంగా ప్రతిచోటా ఆమోదయోగ్యం చేయదు. ఎవరైనా యంత్రంలో కోడ్ నడిపారని కూడా ఇది రుజువు చేయదు; విశ్వాస మార్పు అనేక సామర్థ్యాలలో ఒకటి. సర్టిఫికెట్‌ను మొత్తం సంఘటనగా కాకుండా పరిధిని నిర్ణయించాల్సిన ఆవిష్కరణగా పరిగణించండి.

స్టోర్ సర్టిఫికెట్‌తో సమానంగా ముఖ్యం: వినియోగదారు స్థాయి బండిల్ మరియు సిస్టమ్-వ్యాప్త యాంకర్ వేర్వేరు వినియోగదారులను చేరుతాయి.

ప్రతి ధృవీకర్త మరియు దాని విశ్వాస మూలాన్ని మ్యాప్ చేయండి

ప్రభావిత వర్క్‌ఫ్లోల కోసం సర్టిఫికెట్లను ధృవీకరించే ప్రతి భాగాన్ని రాయండి: బ్రౌజర్, ప్యాకేజీ మేనేజర్, మెయిల్ క్లయింట్, VPN. ఆపై ప్రతి ఒక్కటి చదివే విశ్వాస మూలాన్ని కనుగొనండి.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

డైరెక్టరీ జాబితా Debian శైలి సిస్టమ్‌లలో స్థానికంగా జోడించిన యాంకర్‌లను చూపిస్తుంది, విశ్వాస జాబితా సిస్టమ్ స్టోర్ ప్రస్తుతం ఏమి బహిర్గతం చేస్తుందో చూపిస్తుంది. సొంత స్టోర్ ఉన్న బ్రౌజర్ అక్కడ కనిపించదు, Java లేదా Python అప్లికేషన్ మరో బండిల్‌ను ఉపయోగించవచ్చు. ఏ నమోదులు ఆశించబడుతున్నాయి, ఏవి లేవు అనేది ప్రదర్శించిన పేరుకు బదులుగా వేలిముద్రను ఉపయోగించి నమోదు చేయండి. ఏదైనా తొలగించే ముందు సంఘటన ప్రతిస్పందకుడికి కావాల్సింది ఆ జాబితాయే.

VPN యొక్క సొంత పీర్ ధృవీకరణను తనిఖీ చేయండి

VPN ఒకటి ప్రైవేట్ CA లేదా స్పష్టమైన వేలిముద్రను కలిగి ఉంటే, అది గేట్‌వేను తన సొంత కాన్ఫిగరేషన్ ఆధారంగా మూల్యాంకనం చేస్తుంది. క్లయింట్ ఏమి ఆశిస్తుందో గేట్‌వే ఏమి ప్రదర్శిస్తుందో పోల్చండి.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

అవుట్‌పుట్ ఎండ్‌పాయింట్ ప్రదర్శించే సర్టిఫికెట్ యొక్క SHA-256 వేలిముద్ర మరియు విషయాన్ని ఇస్తుంది, వాటిని మీరు కాన్ఫిగర్ చేసిన విలువతో పోల్చవచ్చు. OpenVPN లో పీర్-వేలిముద్ర ఎంపిక ఉంది, అది సిస్టమ్ స్టోర్ సంతకంచేయువాడిని ఆమోదించాల్సిన అవసరం లేకుండా సొరంగం కోసం ఆ పోలికను చేస్తుంది. ఆ స్వాతంత్ర్యం సొరంగానికి ఉపయోగకరం మరియు బ్రౌజర్ గురించి ఏమీ చెప్పదు. ఆశించిన వేలిముద్ర మొదటి నుండి అనుమానాస్పద కనెక్షన్ నుండి కాపీ చేయబడి ఉంటే అది కూడా సహాయపడదు.

సర్టిఫికెట్ దాటి సంఘటన పరిధిని నిర్ణయించండి

అనధికార యాంకర్‌లను తొలగించడానికి మరియు సాధారణంగా వాటితో వచ్చే మార్పులను వెతకడానికి పరికర యజమాని విధానాన్ని ఉపయోగించండి: కొత్త సేవలు, మార్చబడిన క్లయింట్లు, మార్చబడిన ప్రాక్సీ సెట్టింగ్‌లు. నిర్వహించబడే యంత్రంలో, ఇతర సాఫ్ట్‌వేర్ ఆధారపడే పదార్థాలను తొలగించే ముందు చట్టబద్ధమైన కాన్ఫిగరేషన్‌ను నిర్ధారించండి. ప్రతి ధృవీకర్తకు దాని విశ్వాసం ఎక్కడ నుండి వస్తుంది, ఏ గుర్తింపును ఆశిస్తుంది మరియు ప్రస్తుత కాన్ఫిగరేషన్ సరైనదని మీరు ఎలా నిర్ధారించారో నమోదు చేయండి. శుభ్రపరిచిన తర్వాత పని చేసే సొరంగం ఒక పరిశీలన, ఎండ్‌పాయింట్ పరిశుభ్రంగా ఉందని రుజువు కాదు.

తర్వాత స్టోర్‌ను ఉపయోగించిన వర్క్‌ఫ్లోలను మళ్లీ పరీక్షించండి, ఎందుకంటే యాంకర్‌ను తొలగించడం దానిపై చట్టబద్ధంగా ఆధారపడిన అంతర్గత సేవను విచ్ఛిన్నం చేయవచ్చు. ఆశించిన విశ్వాస సంబంధాలు పని చేసి ఆశించనివి పని చేయనప్పుడు పునరుద్ధరణ పూర్తవుతుంది.