Qo'shimcha ildiz sertifikati qaysi tekshiruvchilarga ta'sir qiladi?

Siz u yerda bo'lmasligi kerak bo'lgan ildiz sertifikatini topasiz va birinchi savol — u kimning shaxsini soxtalashtira oladi. Halol javob qaysi dastur o'sha omborga murojaat qilishiga va VPN ingiz o'z darvozasini qanday tekshirishiga bog'liq. Brauzer, paket menejeri va qadalgan barmoq izi bor VPN mijozi bir xil ishonch qarorini baham ko'rishi shart emas. Qamrovni belgilashdan oldin tekshiruvchilarni xaritalang.

Tizim omboridagi ildiz universal kalit emas

Ildizni o'rnatish o'sha kalit bilan imzolangan sertifikatlarni ta'sirlangan omborni ishlatadigan dasturlar uchun maqbul qiladi. Bu ularni avtomatik ravishda hamma joyda maqbul qilmaydi, chunki ba'zi ilovalar o'z to'plamini olib keladi yoki qadalgan qiymatni tekshiradi. Bu shuningdek, kimdir mashinada kod ishga tushirganini isbotlamaydi; ishonch o'zgarishi bir nechta imkoniyatlardan biridir. Sertifikatga butun hodisa sifatida emas, qamrovini belgilash kerak bo'lgan topilma sifatida qarang.

Ombor sertifikat kabi muhim: foydalanuvchi darajasidagi to'plam va tizim darajasidagi langar turli iste'molchilarga yetib boradi.

Har bir tekshiruvchi va uning ishonch manbasini xaritalang

Ta'sirlangan ish oqimlari uchun sertifikatlarni tekshiradigan har bir komponentni yozing: brauzer, paket menejeri, pochta mijozi, VPN. So'ngra har biri o'qiydigan ishonch manbasini toping.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Katalog ro'yxati Debian uslubidagi tizimlarda mahalliy qo'shilgan langarlarni ko'rsatadi, ishonch ro'yxati esa tizim ombori hozir nimani taqdim etishini ko'rsatadi. O'z omboriga ega brauzer u yerda ko'rinmaydi va Java yoki Python ilovasi yana boshqa to'plamdan foydalanishi mumkin. Qaysi yozuvlar kutilayotganini va qaysilari yo'qligini faqat ko'rsatilgan nom bilan emas, barmoq izi bilan qayd eting. Bu ro'yxat hodisaga javob beruvchiga biror narsani o'chirishdan oldin kerak bo'ladi.

VPN ning o'z hamkor tekshiruvini tekshiring

VPN da maxfiy CA yoki aniq barmoq izi bo'lsa, u darvozani o'z konfiguratsiyasiga ko'ra baholaydi. Mijoz nimani kutayotganini darvoza nimani taqdim etayotgani bilan solishtiring.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Chiqish oxirgi nuqta taqdim etadigan sertifikatning SHA-256 barmoq izini va subyektini beradi, ularni sozlangan qiymat bilan solishtirishingiz mumkin. OpenVPN da hamkor barmoq izi opsiyasi bor, u tizim ombori imzolovchini qabul qilishini talab qilmasdan tunnel uchun shu taqqoslashni bajaradi. Bu mustaqillik tunnel uchun foydali va brauzer haqida hech narsa demaydi. Agar kutilgan barmoq izi boshidan shubhali ulanishdan ko'chirilgan bo'lsa, bu ham yordam bermaydi.

Hodisa qamrovini sertifikatdan tashqariga belgilang

Ruxsatsiz langarlarni olib tashlash va odatda ular bilan birga keladigan o'zgarishlarni izlash uchun qurilma egasining jarayonidan foydalaning: yangi xizmatlar, o'zgartirilgan mijozlar, o'zgartirilgan proksi sozlamalari. Boshqariladigan mashinada boshqa dasturiy ta'minot bog'liq bo'lgan materiallarni o'chirishdan oldin qonuniy konfiguratsiyani tasdiqlang. Har bir tekshiruvchi uchun uning ishonchi qayerdan kelishini, qanday shaxsni kutishini va joriy konfiguratsiya to'g'ri ekanini qanday tasdiqlaganingizni yozing. Tozalashdan keyin ishlayotgan tunnel — bu bitta kuzatuv, oxirgi nuqta toza ekanining dalili emas.

So'ngra omborni ishlatgan ish oqimlarini qayta sinab ko'ring, chunki langarni olib tashlash unga qonuniy tayangan ichki xizmatni buzishi mumkin. Tiklash kutilgan ishonch munosabatlari ishlaganda va kutilmaganlari ishlamaganda tugallanadi.