ใบรับรองรากเพิ่มเติมส่งผลต่อตัวตรวจสอบใดบ้าง

คุณพบใบรับรองรากที่ไม่ควรอยู่ที่นั่น และคำถามแรกคือมันสามารถแอบอ้างตัวตนของใครได้ คำตอบที่ซื่อสัตย์ขึ้นอยู่กับว่าซอฟต์แวร์ใดปรึกษาที่เก็บนั้นและ VPN ของคุณตรวจสอบเกตเวย์อย่างไร เบราว์เซอร์ ตัวจัดการแพ็กเกจ และไคลเอนต์ VPN ที่มีลายนิ้วมือปักหมุดไม่จำเป็นต้องแบ่งปันการตัดสินใจเรื่องความเชื่อใจเดียวกัน จัดทำแผนที่ตัวตรวจสอบก่อนตัดสินใจขอบเขต

รากในที่เก็บของระบบไม่ใช่กุญแจสากล

การติดตั้งรากทำให้ใบรับรองที่ลงนามด้วยกุญแจนั้นเป็นที่ยอมรับสำหรับโปรแกรมที่ใช้ที่เก็บที่ได้รับผลกระทบ มันไม่ได้ทำให้เป็นที่ยอมรับทุกที่โดยอัตโนมัติ เพราะแอปพลิเคชันบางตัวนำชุดของตัวเองมาหรือตรวจสอบค่าที่ปักหมุด มันยังไม่พิสูจน์ว่าใครรันโค้ดบนเครื่อง การเปลี่ยนความเชื่อใจเป็นความสามารถหนึ่งในหลายอย่าง มองใบรับรองเป็นสิ่งที่ค้นพบที่ต้องกำหนดขอบเขต ไม่ใช่ทั้งเหตุการณ์

ที่เก็บสำคัญพอๆ กับใบรับรอง ชุดระดับผู้ใช้และสมอระดับระบบเข้าถึงผู้บริโภคที่แตกต่างกัน

จัดทำแผนที่ตัวตรวจสอบแต่ละตัวและแหล่งความเชื่อใจ

เขียนทุกองค์ประกอบที่ตรวจสอบใบรับรองสำหรับเวิร์กโฟลว์ที่ได้รับผลกระทบ เบราว์เซอร์ ตัวจัดการแพ็กเกจ ไคลเอนต์อีเมล VPN จากนั้นหาแหล่งความเชื่อใจที่แต่ละตัวอ่าน

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

รายการไดเรกทอรีแสดงสมอที่เพิ่มในเครื่องบนระบบสไตล์ Debian และรายการความเชื่อใจแสดงสิ่งที่ที่เก็บของระบบเปิดเผยอยู่ในขณะนี้ เบราว์เซอร์ที่มีที่เก็บของตัวเองจะไม่ปรากฏที่นั่น และแอปพลิเคชัน Java หรือ Python อาจใช้ชุดอื่นอีก บันทึกว่ารายการใดคาดไว้และรายการใดไม่ โดยใช้ลายนิ้วมือแทนชื่อที่แสดงเพียงอย่างเดียว รายการนั้นคือสิ่งที่ผู้ตอบสนองเหตุการณ์ต้องการก่อนลบสิ่งใด

ตรวจสอบการตรวจสอบเพียร์ของ VPN เอง

VPN ที่มี CA ส่วนตัว หรือลายนิ้วมือชัดเจนจะประเมินเกตเวย์ตามการกำหนดค่าของตัวเอง เปรียบเทียบสิ่งที่ไคลเอนต์คาดหวังกับสิ่งที่เกตเวย์นำเสนอ

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

เอาต์พุตให้ลายนิ้วมือ SHA-256 และหัวเรื่องของใบรับรองที่ปลายทางนำเสนอ ซึ่งคุณสามารถเปรียบเทียบกับค่าที่กำหนดไว้ได้ OpenVPN มีตัวเลือกลายนิ้วมือเพียร์ที่ทำการเปรียบเทียบนั้นสำหรับอุโมงค์โดยไม่ต้องให้ที่เก็บของระบบยอมรับผู้ลงนาม ความเป็นอิสระนั้นมีประโยชน์สำหรับอุโมงค์และไม่บอกอะไรเกี่ยวกับเบราว์เซอร์ มันยังไม่ช่วยหากลายนิ้วมือที่คาดไว้ถูกคัดลอกจากการเชื่อมต่อที่น่าสงสัยตั้งแต่แรก

กำหนดขอบเขตเหตุการณ์ให้เกินกว่าใบรับรอง

ใช้ขั้นตอนของเจ้าของอุปกรณ์เพื่อลบสมอที่ไม่ได้รับอนุญาตและมองหาการเปลี่ยนแปลงที่มักมาพร้อมกับมัน บริการใหม่ ไคลเอนต์ที่ถูกแก้ไข การตั้งค่าพร็อกซีที่เปลี่ยนไป บนเครื่องที่จัดการ ตรวจสอบการกำหนดค่าที่ถูกต้องก่อนลบวัสดุที่ซอฟต์แวร์อื่นพึ่งพา สำหรับตัวตรวจสอบแต่ละตัว บันทึกว่าความเชื่อใจมาจากไหน ตัวตนใดที่คาดหวัง และคุณยืนยันได้อย่างไรว่าการกำหนดค่าปัจจุบันถูกต้อง อุโมงค์ที่ใช้งานได้หลังการทำความสะอาดเป็นการสังเกตหนึ่งครั้ง ไม่ใช่หลักฐานว่าปลายทางสะอาด

จากนั้นทดสอบเวิร์กโฟลว์ที่ใช้ที่เก็บนั้นอีกครั้ง เพราะการลบสมออาจทำให้บริการภายในที่พึ่งพามันอย่างถูกต้องเสียหาย การกู้คืนเสร็จสิ้นเมื่อความสัมพันธ์ความเชื่อใจที่คาดไว้ทำงานและสิ่งที่ไม่คาดไว้ไม่ทำงาน