Ek bir kök sertifikası hangi doğrulayıcıları etkiler?

Orada olmaması gereken bir kök sertifikası buluyorsunuz ve ilk soru, kimin kimliğine bürünebileceği. Dürüst yanıt, hangi yazılımın o depoyu sorguladığına ve VPN'inizin kendi ağ geçidini nasıl doğruladığına bağlıdır. Bir tarayıcı, bir paket yöneticisi ve sabitlenmiş parmak izi olan bir VPN istemcisi aynı güven kararını paylaşmak zorunda değildir. Kapsama karar vermeden önce doğrulayıcıları haritalayın.

Sistem deposundaki bir kök evrensel anahtar değildir

Bir kök yüklemek, o anahtarla imzalanmış sertifikaları etkilenen depoyu kullanan programlar için kabul edilebilir hale getirir. Bu, onları otomatik olarak her yerde kabul edilebilir yapmaz, çünkü bazı uygulamalar kendi paketlerini getirir veya sabitlenmiş bir değeri denetler. Ayrıca birinin makinede kod çalıştırdığını da kanıtlamaz; güven değişikliği birkaç yetenekten biridir. Sertifikayı tüm olay değil, sınırları belirlenmesi gereken bir bulgu olarak ele alın.

Depo, sertifika kadar önemlidir: kullanıcı düzeyinde bir paket ve sistem genelinde bir çapa farklı tüketicilere ulaşır.

Her doğrulayıcıyı ve güven kaynağını haritalayın

Etkilenen iş akışları için sertifikaları doğrulayan her bileşeni yazın: tarayıcı, paket yöneticisi, posta istemcisi, VPN. Sonra her birinin okuduğu güven kaynağını bulun.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Dizin listesi, Debian tarzı sistemlerde yerel olarak eklenen çapaları gösterir ve güven listesi sistem deposunun şu anda ne sunduğunu gösterir. Kendi deposu olan bir tarayıcı orada görünmez ve bir Java veya Python uygulaması daha başka bir paket kullanabilir. Hangi girdilerin beklendiğini ve hangilerinin beklenmediğini yalnızca görünen adla değil, parmak iziyle kaydedin. Bu liste, bir olay müdahale uzmanının herhangi bir şeyi silmeden önce ihtiyaç duyduğu şeydir.

VPN'in kendi eş doğrulamasını denetleyin

VPN, özel CA veya açık bir parmak izi taşıyorsa ağ geçidini kendi yapılandırmasına göre değerlendirir. İstemcinin beklediğiyle ağ geçidinin sunduğunu karşılaştırın.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Çıktı, uç noktanın sunduğu sertifikanın SHA-256 parmak izini ve konusunu verir; bunları yapılandırılmış değerle karşılaştırabilirsiniz. OpenVPN uygulamasında, sistem deposunun imzalayanı kabul etmesini gerektirmeden tünel için bu karşılaştırmayı yapan bir eş parmak izi seçeneği vardır. Bu bağımsızlık tünel için yararlıdır ve tarayıcı hakkında hiçbir şey söylemez. Beklenen parmak izi baştan şüpheli bağlantıdan kopyalandıysa bu da yardımcı olmaz.

Olayın kapsamını sertifikanın ötesine taşıyın

Yetkisiz çapaları kaldırmak ve genellikle onlarla birlikte gelen değişiklikleri aramak için cihaz sahibinin prosedürünü kullanın: yeni hizmetler, değiştirilmiş istemciler, değiştirilmiş proxy ayarları. Yönetilen bir makinede, başka yazılımların bağlı olduğu malzemeyi silmeden önce meşru yapılandırmayı doğrulayın. Her doğrulayıcı için güveninin nereden geldiğini, hangi kimliği beklediğini ve mevcut yapılandırmanın doğru olduğunu nasıl doğruladığınızı kaydedin. Temizlikten sonra çalışan bir tünel tek bir gözlemdir, uç noktanın temiz olduğunun kanıtı değildir.

Ardından depoyu kullanan iş akışlarını yeniden test edin, çünkü bir çapanın kaldırılması ona meşru olarak güvenen bir iç hizmeti bozabilir. Kurtarma, beklenen güven ilişkileri çalıştığında ve beklenmeyenler çalışmadığında tamamlanır.