Bii o ṣe le yọ ijẹrisi VPN ti o ti pẹ kuro ninu ibi ipamọ igbẹkẹle

A ti yọ alabara VPN rẹ kuro, profaili ti sọnu lati Eto, ṣugbọn ọna abẹlẹ naa ṣi dide pẹlu awọn ẹri atijọ. Tabi o pa a rẹ, o tun bẹrẹ, o si ri i pada ni owurọ ọjọ keji. Ko si ọkan ninu awọn wọnyi ti o jẹ bọtini piparẹ ti o bajẹ. Profaili jẹ iṣeto; ijẹrisi jẹ ohun elo kọkọrọ pẹlu ipinnu igbẹkẹle ti o gbasilẹ sinu ibi ipamọ ti profaili kikan tọka si. Ewo ninu awọn meji ni o mu ni ọwọ rẹ ni o pinnu ohun ti 'yọ kuro' gbọdọ tumọ si.

Profaili kii ṣe ijẹrisi

Ninu iṣeto VPN, awọn ohun mẹta ti o yatọ ni a pe ni 'ijẹrisi'. Idanimọ alabara jẹ ijẹrisi ewe kan pẹlu kọkọrọ ikọkọ, ati ẹnu-ọna lo lati pinnu tani iwọ. Ijẹrisi ewe ti olupin funrararẹ ati agbedemeji rẹ ni ohun ti alabara rẹ ṣayẹwo nigba ti o sopọ. Orun igbẹkẹle, nigbagbogbo gbongbo tabi ijẹrisi CA ikọkọ, ni ohun ti o jẹ ki ẹwọn naa ṣee ṣayẹwo rara. RFC 5280 pe awọn wọnyi ni orun igbẹkẹle, agbedemeji ati ẹyọ ipari, ati ẹwọn naa wulo nikan niwọn igba ti ọna asopọ kọọkan ba fowo si ọna asopọ ti o wa ni isalẹ rẹ.

Pa idanimọ rẹ, ẹrọ kan yoo padanu iwọle. Pa orun rẹ, ati gbogbo ohun elo ti o ṣayẹwo lodi si ibi ipamọ yẹn yoo padanu agbara lati ṣayẹwo ohunkohun ti a gbejade labẹ rẹ, pẹlu awọn asopọ ti ko ni nkankan lati ṣe pẹlu VPN. Aiṣedeede yẹn ni gbogbo ewu nibi: gbongbo ti a fi sori ẹrọ fun ẹnu-ọna kan nigbagbogbo jẹ gbongbo kanna ti o fowo si ọna-ọna inu, olupin meeli tabi digi apo. Ranti ewo ninu awọn meji ni o mu.

Nini ni o pinnu boya piparẹ yoo wa ni piparẹ. Lori kọmputa agbon ti o ni, iwọ nikan ni o le fi ijẹrisi pada. Lori ẹrọ ti a ṣakoso, profaili iṣeto tabi ẹru MDM le tun fi sori ẹrọ ni ayẹwo ti o tẹle, eyi ni idi ti o fi 'pada wa' ati idi ti piparẹ le kii ṣe iranlọwọ.

Wa iru ibi ipamọ ti o tun mu u

Awọn eniyan bẹrẹ ninu app Eto, eyi ti o jẹ ibi kan ṣoṣo ti a ko fi ijẹrisi pamọ. Awọn ipo gidi ni awọn ibi ipamọ igbẹkẹle ti ẹrọ, ibi ipamọ ti aṣawakiri funrararẹ ati ibi ipamọ ikọkọ ti ohun elo.

Fi nọmba jara tabi ami ika ọwọ ṣe afiwe, kii ṣe orukọ ti o han rara. Awọn orukọ ti o han ni ẹniti o gbe ijẹrisi jade ṣeto ati a tun lo wọn: 'Example VPN' le jẹ ijẹrisi mẹta pẹlu awọn kọkọrọ mẹta ti o yatọ, ọkan tun wa ni lilo ojoojumọ.

certutil -user -store My
certutil -store Root
openssl x509 -in vpn-client.pem -noout -subject -issuer -serial -fingerprint -sha256

Lori macOS, irinṣẹ security funni ni awọn otitọ kanna, ati find-identity fihan awọn ijẹrisi ti o tun ni kọkọrọ ikọkọ ti a so:

security find-certificate -a -c "Example VPN" -Z /Library/Keychains/System.keychain
security find-identity -v -p ssl-client

Pa ohun dín rẹ, tọju olupilẹjade pinpin

Ṣe okeere ki o to pa. Laisi ẹda afẹyinti, imularada kan ṣoṣo ni gbigbejade leekansi, eyi ti ninu CA ikọkọ tumọ si pada si ẹniti o nṣakoso PKI. PFX ti a ṣe okeere tun jẹ ohun ti o fi lelẹ ti piparẹ ba jẹ ipinnu ti ko tọ.

certutil -user -exportPFX -p backup My <serial> C:\temp\vpn-id.pfx
certutil -user -delstore My <serial>
Remove-Item Cert:\CurrentUser\My<thumbprint>

Àmi -user ni awọn eniyan fi i silẹ lairotẹlẹ. Laisi rẹ, certutil n ṣiṣẹ lori ibi ipamọ ẹrọ dipo, eyi ti o tumọ si shell ti a gbe soke, eto ijẹrisi ti o yatọ ati rediosi ipa ti o ti pẹlu gbogbo akọọlẹ miiran lori ẹrọ naa.

Lori macOS ati Linux apẹrẹ jẹ kanna: ṣe idanimọ, ṣe okeere, lẹhinna yọ kuro ninu ibi ipamọ dín julọ ti o ṣalaye aami naa. Yọ faili ti o wa labẹ /usr/local/share/ca-certificates kuro ati tun update-ca-certificates ṣiṣẹ jẹ to; --fresh ṣe iranlọwọ nikan nigba ti awọn ọna asopọ aami ninu /etc/ssl/certs ti ko ni ibamu tẹlẹ. Awọn eto idile RHEL tọju awọn orun ni /etc/pki/ca-trust/source/anchors, nibiti trust anchor --remove ṣe iṣẹ kanna.

sudo security delete-certificate -Z <sha1> /Library/Keychains/System.keychain
sudo rm /usr/local/share/ca-certificates/example-vpn.crt
sudo update-ca-certificates
sudo trust anchor --remove /etc/pki/ca-trust/source/anchors/example-vpn.crt

Ki o to pa ijẹrisi CA, ṣayẹwo ohun miiran ti o so mọ ọ. Kikojọ awọn koko-ọrọ ninu idii jẹ ayẹwo ila meji ati o dahun boya orun yẹn n ṣe iṣẹ miiran:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/certs/ca-certificates.crt \
  | openssl pkcs7 -print_certs -noout | grep -i example

Piparẹ faili kii ṣe fifagile idanimọ

Piparẹ agbegbe yọ ẹda kan kuro. Kọkọrọ ikọkọ tun le wa ninu p12 ti a so mọ tikẹti atijọ, folda afẹyinti tabi kọmputa agbon keji ti a ṣeto ni akoko kanna. Ti eyi ba jẹ idanimọ alabara, ẹnu-ọna n tẹsiwaju lati gba ẹda eyikeyi ti kọkọrọ yẹn titi idanimọ yoo fi kọ silẹ ni ẹgbẹ olupin.

Fun OpenVPN PKI, eyi tumọ si fifagile ijẹrisi ati rii daju pe CRL ti crl-verify tọka si jẹ lọwọlọwọ; easyrsa revoke lẹhinna easyrsa gen-crl ni ẹya kukuru. Fun ẹnu-ọna ti o so mọ olupese idanimọ, mu olumulo ṣiṣẹ tabi yọ ẹrọ kuro nibẹ, nitori ijẹrisi jẹ ẹri kan ni ere. Piparẹ ẹda agbegbe nigba ti akọọlẹ naa wa ni ṣiṣẹ dabi mimọ ati kii ṣe bẹẹ.

Iṣẹ iṣẹlẹ ni ilana miiran: tọju ijẹrisi, nọmba jara rẹ ati igbasilẹ fifagile ni akọkọ, lẹhinna pa ati fagile. Awọn igbasilẹ yẹn ko ni iye ati ko nilo fifi ẹri ti n ṣiṣẹ silẹ.

Ṣayẹwo pẹlu imufọwọ ati app keji

Ṣayẹwo ẹwọn naa lati ita, kii ṣe lati akojọ ibi ipamọ ti o ṣẹṣẹ ṣatunkọ. Ibi ipamọ fihan ṣatunkọ rẹ; imufọwọ fihan abajade.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com \
  -CAfile /etc/ssl/certs/ca-certificates.crt -verify_return_error < /dev/null
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt vpn-gateway.pem

Koodu ipadabọ 0 tumọ si awọn orun to ku tun ṣayẹwo ẹnu-ọna. Aṣiṣe ẹwọn lẹhin yiyọ orun jẹ abajade ti a reti, ati pe o jẹri pe o kan orun ti n ṣiṣẹ kii ṣe ẹda kan ninu ibi ipamọ ti alabara ko ka rara. Ti asopọ naa ba tun ṣiṣẹ, wa ẹda keji, ibi ipamọ ti a fi sinu app tabi ijẹrisi ti a fi pamọ, gbogbo wọn wọpọ ni awọn alabara ti o mu akojọ igbẹkẹle tiwọn wa.

Lẹhinna dan ohun ti ko ni ibatan wo: aaye inu, alabara meeli, digi apo. Iyẹn ṣe iwọn rediosi ipa ni ọna ti ko ni iye, ki ferese iyipada to ti ni.

• A ṣe idanimọ ipa bi idanimọ, agbedemeji tabi orun igbẹkẹle
• A gbasilẹ nọmba jara ati ami ika ọwọ, a si gbe ẹda jade si ipo ti a fọwọsi
• A ṣe piparẹ ni iwọn dín julọ ti o ṣalaye aami naa
• A fagile aṣẹ ẹgbẹ olupin nigba ti eniyan tabi ẹrọ lọ
• A ṣalaye imufọwọ, a si tun dan app kan ti ko ni ibatan wo
• A ṣe imudojuiwọn ẹru MDM tabi profaili iṣakoso, bibẹẹkọ ijẹrisi yoo pada

Ti ijẹrisi ba pada lẹhin atunbẹrẹ, iṣẹ ko ti pari: nkan kan ni o ni ati tun fi sori ẹrọ. Wa oniwun yẹn ki o to tun pa, nitori piparẹ kẹta yoo huwa gẹgẹ bi akọkọ meji.