Niezaufanie pośredniego urzędu certyfikacji w systemie Linux?

Z tego bloga .

Pośrednie urzędy certyfikacji to certyfikaty podpisane przez główny urząd certyfikacji, które mogą podpisywać dowolne certyfikaty dla dowolnych witryn internetowych.

Są tak samo potężne jak główne urzędy certyfikacji, ale nie ma pełnej listy tych, którym ufa system, ponieważ główne urzędy certyfikacji mogą tworzyć dowolne nowe, a system będzie im ufał od pierwszego wejrzenia. TYSIĄCE zalogowane w CT.

W tym miesiącu pojawiła się interesująca, wygenerowana prawdopodobnie we wrześniu 2015 r .: „Blue Coat Public Services Intermediate CA”, podpisana przez firmę Symantec. (Jak dotąd żadne certyfikaty podpisane przez ten urząd certyfikacji nie dotarły do ​​dzienników CT ani Censys.)

Pomyślałem, że to dobra okazja, aby napisać, jak jawnie nie ufać pośredniemu urzędowi certyfikacji, który w innym przypadku byłby zaufany w OS X. Nie powstrzyma to głównego urzędu certyfikacji przed przekazaniem nowego pośrednika tej samej organizacji, ale lepiej niż nic.

Kiedy próbowałem wykonać kroki w blogu w Ubuntu, pobieram ten certyfikat https://crt.sh/?id=19538258 . Kiedy otwieram .crt, importuje się do Gnome Keyring, ale potem nie mogłem znaleźć sposobu, aby „zaufać” certyfikatowi po jego zaimportowaniu.

Aby utrudnić, Linux ma więcej niż jedną bibliotekę do pracy z certyfikatami.

Jeśli używasz Mozilli NSS, można aktywnie Nieufność (terminologia) zaświadczenie stosując Certutil „s -t trustargsopcję:

$ certutil -d <path to directory containing database> -M -t p -n "Blue Coat Public Services Intermediate CA"

Dla Firefoksa, <path to directory containing database>to zwykle ~/.mozilla/firefox/<???>.profile, gdzie <???>są pewne losowe szukający znaków. (certutil znajduje się np. w pakiecie libnss3-tools Ubuntu)

Podział jest następujący:

-M zmodyfikować bazę danych

-t p ustawić zaufanie na Zabronione

-n do przeprowadzenia operacji na wymienionym certyfikacie

Nawet w ramach NSS nie wszystkie aplikacje współużytkują tę samą bazę danych; więc może być konieczne powtórzenie tego procesu. Na przykład, aby zrobić to samo dla Chrome, zmienić -d <path>się -d sql:.pki/nssdb/.

$ certutil -d sql:.pki/nssdb/ -M -t p -n "Blue Coat Public Services Intermediate CA"

Jednak nie wszystkie aplikacje używają NSS, więc nie jest to kompletne rozwiązanie. Na przykład nie sądzę, że można to zrobić za pomocą biblioteki OpenSSL.

W rezultacie każda aplikacja korzystająca z OpenSSL w celu zapewnienia budowania łańcucha certyfikatów (TLS, IPSec itp.) Ufa łańcuchowi z certyfikatem Blue Coat i nic nie można na to poradzić poza usunięciem głównego urzędu certyfikacji, który go podpisał Twój sklep z kotwicami zaufania (co byłoby głupie, biorąc pod uwagę, że jest to główny urząd certyfikacji firmy Symantec, ponieważ nie ufasz połowie Internetu), podczas gdy aplikacje korzystające z NSS można skonfigurować bardziej szczegółowo, aby nie ufały sieciom z certyfikatem Blue Coat .

Na przykład uważam, że OpenVPN używa OpenSSL jako biblioteki certyfikatów, dlatego starszy brat może nasłuchiwać ruchu OpenVPN bez Twojej wiedzy, jeśli łączysz się z komercyjnym dostawcą VPN, który korzysta z OpenVPN. Jeśli naprawdę się tym martwisz, sprawdź, kim jest główny urząd certyfikacji twojego komercyjnego dostawcy VPN - jeśli jest to Symantec / Verisign, to może czas porzucić je dla kogoś innego?

Pamiętaj, że SSH nie używa certyfikatów X509, dlatego możesz łączyć się i tunelować za pomocą SSH, nie martwiąc się atakami MITM firmy Blue Coat.

Nie mogę jeszcze komentować, więc będę musiał skomentować tutaj, że na Ubuntu Gnome 15.10, kiedy używam podejścia @ garethTheRed, otrzymuję:

~$ certutil -d ~/.mozilla/firefox/<directory>.default -M -t p -n "Blue Coat Public Services Intermediate CA" 
certutil: could not find certificate named "Blue Coat Public Services Intermediate CA": SEC_ERROR_BAD_DATABASE: security library: bad database.

~$ certutil -d sql:.pki/nssdb/ -M -t p -n "Blue Coat Public Services Intermediate CA"
certutil: could not find certificate named "Blue Coat Public Services Intermediate CA": SEC_ERROR_UNRECOGNIZED_OID: Unrecognized Object Identifier.

„Blue Coat Systems, Inc.” też nie działa.

(Jest to certyfikat, który zaimportowałem: https://crt.sh/?id=19538258 )