Eskirgan VPN sertifikatini ishonch omboridan qanday olib tashlash mumkin

VPN mijozi o'chirilgan, profil Sozlamalardan yo'qolgan, ammo tunnel hali ham eski hisob ma'lumotlari bilan ko'tariladi. Yoki uni o'chirasiz, qayta ishga tushirasiz va ertasi kuni ertalab yana topasiz. Bularning hech biri buzilgan o'chirish tugmasi emas. Profil — konfiguratsiya; sertifikat — kalit materiali va profil faqat ishora qiladigan omborda qayd etilgan ishonch qarori. Qaysi biri qo'lingizda ekani 'olib tashlash' nimani anglatishini belgilaydi.

Profil sertifikat emas

VPN sozlamasida uch xil obyekt 'sertifikat' deb ataladi. Mijoz identifikatori maxfiy kalitli barg sertifikati bo'lib, shlyuz u orqali kimligingizni aniqlaydi. Serverning o'z barg sertifikati va uning oraliq sertifikati mijozingiz ulanishda tekshiradigan narsadir. Ishonch langari, odatda ildiz yoki xususiy CA sertifikati, zanjirni umuman tekshiriladigan qiladigan narsadir. RFC 5280 bularni ishonch langari, oraliq va oxirgi subyekt deb ataydi, zanjir esa faqat har bir bo'g'in ostidagi bo'g'inni imzolaganda haqiqiy bo'ladi.

Identifikatorni o'chiring — bitta qurilma ruxsatdan mahrum bo'ladi. Langarni o'chiring va o'sha omborga qarshi tekshiruvchi har bir ilova uning ostida chiqarilgan har qanday narsani tekshirish qobiliyatini yo'qotadi, VPN bilan hech qanday aloqasi bo'lmagan ulanishlar ham. Bu nosimmetriklik bu yerdagi butun xavf: bitta shlyuz uchun o'rnatilgan ildiz ko'pincha ichki portal, pochta serveri yoki paket oynasini imzolaydigan o'sha ildizdir. Ikkisidan qaysi biri qo'lingizda ekanini eslab qoling.

Egalik o'chirish o'chirilgan holda qolishini belgilaydi. O'zingizga tegishli noutbukda sertifikatni faqat siz qaytarib qo'ya olasiz. Boshqariladigan qurilmada konfiguratsiya profili yoki MDM yuki uni keyingi check-in paytida qayta o'rnatishi mumkin, shuning uchun u 'qaytib keladi' va shuning uchun qattiqroq o'chirish yordam bermaydi.

U qaysi omborda hali ham borligini aniqlang

Odamlar Sozlamalar ilovasidan boshlaydi, bu sertifikat saqlanmaydigan yagona joy. Haqiqiy joylar OS ishonch omborlari, brauzerning o'z ombori va ilovaning shaxsiy omboridir.

Seriya raqami yoki barmoq izi bo'yicha moslashtiring, hech qachon ko'rinadigan nom bo'yicha emas. Ko'rinadigan nomlarni sertifikat chiqargan tomon belgilaydi va ular qayta ishlatiladi: 'Example VPN' uch xil kalitli uchta sertifikat bo'lishi mumkin, bittasi hali ham kundalik foydalanishda.

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

macOS da security vositasi xuddi shu faktlarni beradi va find-identity qaysi sertifikatlarda hali ham maxfiy kalit bog'langanini ko'rsatadi:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

Tor obyektni o'chiring, umumiy chiqaruvchini saqlang

O'chirishdan oldin eksport qiling. Zaxira nusxasiz yagona tiklanish — qayta chiqarish, xususiy CA da bu PKI ni boshqaradigan kishiga qaytishni anglatadi. Eksport qilingan PFX, agar olib tashlash noto'g'ri qaror bo'lib chiqsa, topshiradigan narsangizdir.

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

Bu -user bayrog'ini odamlar bexosdan tashlab ketishadi. Usiz certutil mashina omborida ishlaydi, bu esa yuqori shell, boshqa sertifikatlar to'plami va endi mashinadagi barcha boshqa hisoblarni qamrab oladigan ta'sir radiusini bildiradi.

macOS va Linux da shakl bir xil: aniqlang, eksport qiling, so'ng simptomni tushuntiradigan eng tor ombordan olib tashlang. /usr/local/share/ca-certificates ostidagi faylni o'chirish va update-ca-certificates ni qayta ishga tushirish kifoya; --fresh faqat /etc/ssl/certs dagi simvolik havolalar allaqachon nomuvofiq bo'lsa yordam beradi. RHEL oilasidagi tizimlar langarlarni /etc/pki/ca-trust/source/anchors da saqlaydi, u yerda trust anchor --remove xuddi shu ishni qiladi.

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

CA sertifikatini o'chirishdan oldin unga yana nima zanjirlanib ulanishini tekshiring. To'plamdagi subyektlarni sanab chiqish ikki qatorli tekshiruv bo'lib, u langar boshqa ish qilyaptimi-yo'qmi degan savolga javob beradi:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

Faylni o'chirish identifikatorni bekor qilish emas

Mahalliy o'chirish bitta nusxani olib tashlaydi. Maxfiy kalit eski chiptaga bog'langan p12 da, zaxira jildida yoki bir vaqtda sozlangan ikkinchi noutbukda hali ham turishi mumkin. Agar bu mijoz identifikatori bo'lsa, shlyuz identifikator server tomonda rad etilmaguncha o'sha kalitning har qanday nusxasini qabul qilishda davom etadi.

Bitta OpenVPN PKI uchun bu sertifikatni bekor qilish va crl-verify havola qiladigan CRL ning dolzarbligiga ishonch hosil qilish demakdir; easyrsa revoke so'ng easyrsa gen-crl qisqa versiyadir. Identifikator provayderiga bog'langan shlyuz uchun u yerda foydalanuvchini o'chirib qo'ying yoki qurilmani olib tashlang, chunki sertifikat o'yindagi bitta hisob ma'lumotidir. Hisob faol qolganda mahalliy nusxani o'chirish tozalashga o'xshaydi va unday emas.

Hodisa ishi boshqa tartibga ega: avval sertifikat, uning seriya raqami va bekor qilish yozuvini saqlang, so'ng o'chiring va bekor qiling. O'sha yozuvlar hech narsaga turmaydi va ishlaydigan hisob ma'lumotini joyida qoldirishni talab qilmaydi.

Qo'l berish va ikkinchi ilova bilan tekshiring

Zanjirni tashqaridan tekshiring, hozir tahrir qilgan ombor ro'yxatidan emas. Ombor tahriringizni ko'rsatadi; qo'l berish natijani ko'rsatadi.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

Qaytish kodi 0 qolgan langarlar shlyuzni hali ham tasdiqlashini bildiradi. Langar olib tashlangandan keyin zanjir xatosi kutilgan natija bo'lib, siz foydalanilayotgan langarga urilganingizni, mijoz hech qachon o'qimaydigan ombordagi nusxaga emasligini tasdiqlaydi. Ulanish hali ham ishlasa, ikkinchi nusxa, ilova ichidagi ombor yoki qadalgan sertifikatni qidiring, bularning barchasi o'z ishonch ro'yxatini olib keladigan mijozlarda odatiy.

So'ng aloqasiz narsani sinab ko'ring: ichki sayt, pochta mijozi, paket oynasi. Bu o'zgarish oynasi yopilishidan oldin ta'sir radiusini arzon o'lchaydi.

• Rol identifikator, oraliq yoki ishonch langari sifatida aniqlandi
• Seriya raqami va barmoq izi qayd etildi, nusxa tasdiqlangan joyga eksport qilindi
• O'chirish simptomni tushuntiradigan eng tor doirada bajarildi
• Odam yoki qurilma ketganda server tomonidagi ruxsat bekor qilindi
• Qo'l berish tushuntirildi va bitta aloqasiz ilova qayta sinovdan o'tkazildi
• MDM yuki yoki boshqaruv profili yangilandi, aks holda sertifikat qaytadi

Agar sertifikat qayta ishga tushirishdan keyin qaytgan bo'lsa, ish tugamagan: nimadir unga egalik qiladi va uni qayta o'rnatadi. Yana o'chirishdan oldin o'sha egasini toping, chunki uchinchi o'chirish birinchi ikkitasi kabi ishlaydi.