Chứng chỉ gốc bổ sung ảnh hưởng đến những trình xác thực nào?

Bạn tìm thấy một chứng chỉ gốc lẽ ra không nên có ở đó, và câu hỏi đầu tiên là nó có thể mạo danh danh tính của ai. Câu trả lời trung thực phụ thuộc vào việc phần mềm nào tra cứu kho đó và VPN của bạn xác minh cổng vào của nó như thế nào. Trình duyệt, trình quản lý gói và ứng dụng VPN có dấu vân tay được ghim không nhất thiết chia sẻ cùng một quyết định tin cậy. Hãy lập bản đồ các trình xác thực trước khi quyết định phạm vi.

Gốc trong kho hệ thống không phải là chìa khóa vạn năng

Cài đặt một gốc khiến các chứng chỉ được ký bằng khóa đó trở nên chấp nhận được với những chương trình dùng kho bị ảnh hưởng. Điều đó không tự động khiến chúng được chấp nhận ở mọi nơi, vì một số ứng dụng mang theo gói riêng hoặc kiểm tra một giá trị được ghim. Nó cũng không chứng minh rằng ai đó đã chạy mã trên máy; thay đổi tin cậy chỉ là một trong nhiều khả năng. Hãy coi chứng chỉ là một phát hiện cần giới hạn phạm vi, không phải toàn bộ sự cố.

Kho quan trọng ngang với chứng chỉ: một gói ở cấp người dùng và một neo ở cấp hệ thống tiếp cận những người dùng khác nhau.

Lập bản đồ từng trình xác thực và nguồn tin cậy của nó

Ghi lại mọi thành phần xác thực chứng chỉ cho các quy trình bị ảnh hưởng: trình duyệt, trình quản lý gói, ứng dụng thư, VPN. Sau đó tìm nguồn tin cậy mà mỗi thành phần đọc.

ls /usr/local/share/ca-certificates
trust list | grep -i -E "vpn|corp"

Danh sách thư mục cho thấy các neo được thêm cục bộ trên các hệ thống kiểu Debian, và danh sách tin cậy cho thấy kho hệ thống hiện đang công bố gì. Một trình duyệt có kho riêng sẽ không xuất hiện ở đó, và ứng dụng Java hoặc Python có thể dùng một gói khác nữa. Ghi lại những mục nào được mong đợi và những mục nào không, dùng dấu vân tay thay vì chỉ tên hiển thị. Danh sách đó là thứ mà người ứng cứu sự cố cần trước khi xóa bất cứ thứ gì.

Kiểm tra việc xác thực ngang hàng của chính VPN

Một VPN có CA riêng hoặc dấu vân tay rõ ràng sẽ đánh giá cổng vào theo cấu hình của chính nó. Hãy so sánh điều ứng dụng khách mong đợi với điều cổng vào trình bày.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -fingerprint -sha256 -subject

Kết quả xuất ra cho biết dấu vân tay SHA-256 và chủ thể của chứng chỉ mà điểm cuối trình bày, bạn có thể so sánh với giá trị đã cấu hình. OpenVPN có tùy chọn dấu vân tay ngang hàng thực hiện so sánh đó cho đường hầm mà không yêu cầu kho hệ thống chấp nhận bên ký. Tính độc lập đó hữu ích cho đường hầm và không nói gì về trình duyệt. Nó cũng không giúp ích nếu dấu vân tay mong đợi đã bị sao chép từ kết nối đáng ngờ ngay từ đầu.

Giới hạn phạm vi sự cố vượt ra ngoài chứng chỉ

Dùng quy trình của chủ thiết bị để xóa các neo trái phép và tìm những thay đổi thường đi kèm: dịch vụ mới, ứng dụng khách bị sửa đổi, cài đặt proxy bị thay đổi. Trên máy được quản lý, hãy xác nhận cấu hình hợp pháp trước khi xóa tài liệu mà phần mềm khác phụ thuộc vào. Với mỗi trình xác thực, ghi lại niềm tin của nó đến từ đâu, nó mong đợi danh tính nào và bạn đã xác nhận cấu hình hiện tại là đúng bằng cách nào. Một đường hầm hoạt động sau khi dọn dẹp là một quan sát, không phải bằng chứng rằng điểm cuối sạch.

Sau đó hãy kiểm tra lại các quy trình đã dùng kho, vì việc xóa một neo có thể làm hỏng một dịch vụ nội bộ vốn dựa vào nó một cách hợp pháp. Việc khôi phục hoàn tất khi các mối quan hệ tin cậy mong đợi hoạt động và những mối quan hệ không mong đợi thì không.