Vai al contenuto
Avanet

Distribuire il certificato root di Sophos DNS Protection

Sophos DNS Protection

DNS Protection Root Certificate è necessario affinché un browser possa visualizzare la pagina di blocco HTTPS di Sophos senza un avviso relativo al certificato. Non abilita la protezione DNS o la decrittografia TLS. Per la configurazione DNS, i criteri e la connettività delle pagine di blocco, consultare Configurare la protezione DNS di Sophos con Sophos Firewall.

Questo certificato non è la CA di Sophos Firewall per l’ispezione TLS. La CA del firewall firma i certificati per le connessioni decrittografate; il certificato di protezione DNS stabilisce l’attendibilità della pagina di blocco HTTPS fornita da Sophos. Gestire la CA del firewall separatamente in base a Distribuire il certificato CA di Sophos Firewall per l’ispezione TLS.

Percorso rapido per i dispositivi gestiti

  1. In Sophos Central, aprire My Products > DNS Protection > Installers.
  2. In Configure block pages, selezionare Certificate per scaricare il certificato corrente.
  3. Controllare l’identità del file e del certificato prima della distribuzione.
  4. Distribuire il certificato al root truststore dei dispositivi di test previsti.
  5. Eseguire prima il test di configurazione centrale, quindi testare un dominio HTTPS innocuo deliberatamente bloccato da una policy pilota.
  6. Distribuirlo ampiamente solo dopo un progetto pilota di successo.

Sophos può gestire la distribuzione sugli endpoint Windows supportati. Il Sophos Endpoint Agent e il componente DNS devono essere installati, il pacchetto software Windows deve essere impostato su Recommended e Automatically deploy the DNS Protection signing certificate to devices to show block pages deve essere abilitato nel criterio Endpoint attivo. Questo metodo automatico di Sophos attualmente non supporta né Windows Server né macOS.

Verifica il download e l’identità

Scarica il certificato solo dal tuo tenant Central autenticato. Una CA radice estende l’insieme di emittenti attendibili, quindi non importare un file ricevuto tramite e-mail, chat o download sconosciuto senza verifica.

Prima del progetto pilota, registrare Subject, Issuer, validità e impronta SHA-256 del certificato. Sophos non pubblica un’impronta permanente nella pagina Installers. Approvare l’impronta mediante il processo di change, se opportuno con un secondo download indipendente dallo stesso tenant autenticato; non usare valori inventati.

Questi comandi PowerShell di sola lettura restituiscono tre identificatori distinti:

$cert = Get-PfxCertificate -FilePath .\dns-protection-root.cer
$cert | Format-List Subject,Issuer,NotBefore,NotAfter
$cert.GetCertHashString([System.Security.Cryptography.HashAlgorithmName]::SHA256)
$cert.Thumbprint
(Get-FileHash -Algorithm SHA256 .\dns-protection-root.cer).Hash

Il primo risultato esadecimale è l’impronta SHA-256 del certificato decodificato, usata per approvarne l’identità tra piattaforme. $cert.Thumbprint è l’impronta SHA-1 nell’archivio certificati di Windows e serve solo a trovare o rimuovere lì il certificato approvato. Get-FileHash è il checksum SHA-256 del file scaricato e serve soltanto a confrontare file identici byte per byte. Una conversione PEM/DER può cambiare il checksum del file senza cambiare il certificato.

Il nome del file è un esempio. La corrispondenza dei valori non dimostra da sola la provenienza. Il certificato CA pubblico Sophos non ha chiave privata e non deve essere convertito in un PFX che ne contenga una.

Distribuisci su Windows

Sophos Endpoint

La distribuzione automatica degli endpoint è l’opzione più semplice per gli endpoint Windows gestiti. Dopo l’assegnazione in Central, verificare su un dispositivo pilota che il certificato venga visualizzato nell’archivio certificati local computer in Trusted Root Certification Authorities. Il solo successo dell’assegnazione della policy non dimostra che il browser accetta la pagina di blocco.

Active Directory o Intune

Per i dispositivi di dominio, importare il certificato in un oggetto Criteri di gruppo collegato in modo specifico in Computer Configuration > Policies > Windows Settings > Security Settings > Public Key Policies > Trusted Root Certification Authorities. Inizialmente collegare l’oggetto Criteri di gruppo solo a un’unità organizzativa pilota.

In Microsoft Intune creare un profilo Trusted certificate per ogni piattaforma supportata. Per Windows, Computer certificate store - Root è l’archivio di destinazione appropriato. Controlla l’assegnazione e lo stato del dispositivo prima di aggiungere altri gruppi.

Installazione manuale

Per un dispositivo di test, apri mmc.exe, aggiungi lo snap-in Certificates per Computer account > Local computer e importa il certificato in Trusted Root Certification Authorities > Certificates. L’installazione nell’archivio utente si applica solo a quell’utente e in genere è l’ambito sbagliato per i dispositivi condivisi.

Edge e Chrome utilizzano normalmente il trust store del sistema Windows. Le applicazioni con il proprio archivio certificati devono essere controllate separatamente.

Distribuisci su macOS

Per i Mac gestiti, preferisci un MDM Certificates payload. Apple garantisce la piena attendibilità ai certificati root installati da un servizio di gestione dei dispositivi supportato. Assegnare il payload nel contesto del dispositivo a un gruppo pilota; i passaggi esatti di denominazione e rimozione dipendono dal prodotto MDM.

Per un pilota manuale, importare il certificato in Keychain Access. System lo rende disponibile a livello di dispositivo dopo l’approvazione dell’amministratore, mentre login si applica solo all’utente che ha effettuato l’accesso. Quindi aprire il certificato, espandere Trust e selezionare Always Trust come indicato da Sophos. Questa decisione manuale sull’attendibilità non è necessaria per un’installazione MDM gestita correttamente.

Firefox e altri browser

Firefox può utilizzare il proprio archivio certificati. Non dare per scontato che un test Edge, Chrome o Safari riuscito copra automaticamente Firefox.

Firefox gestito offre due opzioni adatte:

  • La politica aziendale Certificates > ImportEnterpriseRoots fa sì che Firefox consideri l’archivio del sistema operativo gestito dagli amministratori.
  • Certificates > Install distribuisce il certificato direttamente nello store di Firefox.

Per un singolo progetto pilota, importa il certificato in Firefox sotto Settings > Privacy & Security > Certificates > View Certificates > Authorities > Import e consideralo un’autorità di certificazione. Utilizza le policy del browser anziché le modifiche manuali del profilo per la distribuzione della flotta. Inventaria e testa ogni browser o applicazione che dispone di un proprio trust store.

Convalida la funzione e la fiducia

L’accettazione consiste in controlli separati:

  1. Il certificato previsto si trova nell’archivio corretto del computer, dell’MDM o del browser; l’impronta digitale e la validità corrispondono all’artefatto approvato.
  2. Il test di configurazione in DNS Protection > Installers visualizza il messaggio di benvenuto. Ciò conferma il percorso di protezione DNS, non una pagina di blocco.
  3. Bloccare temporaneamente un dominio di test innocuo attraverso una policy pilota. Il browser deve mostrare la pagina di blocco Sophos su HTTPS senza un avviso relativo al certificato.
  4. Nei dettagli del certificato della connessione, la catena visualizzata deve terminare nella root di protezione DNS prevista. Successivamente rimuovere il blocco di prova.

Non utilizzare un collegamento malware come test del certificato. La data, l’ora e il fuso orario del client devono essere corretti. Anche blockpage.dnsprotection.sophos.com deve essere raggiungibile. L’ispezione TLS del firewall per questa destinazione può modificare la catena visibile, quindi non decrittografare la connessione alla pagina di blocco.

Ruota, sostituisci e rimuovi

La scadenza del certificato e la sostituzione fornita da Sophos rientrano nel monitoraggio operativo. Confronta regolarmente l’attuale download centrale con l’impronta digitale approvata e la data di scadenza.

Utilizza una sovrapposizione controllata quando viene visualizzato un nuovo certificato:

  1. Identificare e documentare i vecchi e i nuovi certificati tramite impronta digitale.
  2. Distribuire il nuovo certificato oltre a quello vecchio a un gruppo pilota.
  3. Convalida la pagina di blocco e i browser pertinenti.
  4. Distribuire ampiamente il nuovo certificato e attendere lo stato dell’installazione.
  5. Solo allora rimuovere il vecchio certificato tramite impronta digitale utilizzando lo stesso metodo di gestione ed eseguire nuovamente il test.

Se la sovrapposizione non è possibile, pianifica una finestra di manutenzione e prepara un rollback. Non eliminare mai solo in base al nome visualizzato: i certificati root con lo stesso nome possono avere identità diverse.

La rimozione deve annullare il metodo responsabile dell’installazione:

  1. Sophos Endpoint: disabilitare Automatically deploy the DNS Protection signing certificate to devices to show block pages (o rimuovere l’assegnazione della policy), attendere che il dispositivo pilota riceva la policy e controllare l’archivio Root del computer locale. Ciò interrompe la distribuzione richiesta, ma non dimostra che Sophos rimuova una radice già installata. Se rimane, escludere prima un’altra policy responsabile, quindi usare la pulizia Windows riportata sotto. Per il rollback, ripristinare opzione o assegnazione e convalidare di nuovo.
  2. GPO: eliminare il certificato dalla GPO responsabile o scollegarla dall’unità organizzativa pilota, eseguire gpupdate /force e controllare tramite l’impronta SHA-1 di Windows. Se rimane, individuare un altro responsabile prima della pulizia locale. Per il rollback, ripristinare voce o collegamento e aggiornare la policy.
  3. Intune: rimuovere il gruppo pilota dal profilo Trusted certificate (o ritirare il profilo), sincronizzare il dispositivo e controllare lo stato Intune e l’archivio Root tramite SHA-1. La rimozione del profilo non dimostra la pulizia; usare una correzione Intune approvata o la pulizia Windows solo quando nessun profilo lo gestisce. Per il rollback, ripristinare l’assegnazione e sincronizzare.
  4. macOS: rimuovere assegnazione o payload del certificato MDM, sincronizzare e controllare Keychain Access > System tramite l’impronta SHA-256 del certificato. Se il certificato ormai non gestito rimane, eliminare esattamente quel certificato in Keychain Access con autorizzazione amministrativa. Eliminare un’importazione manuale dal portachiavi originale. Per il rollback, ripristinare il payload o reimportare il certificato approvato e selezionare Always Trust.
  5. Firefox: rimuovere la voce da Certificates > Install, ridistribuire la policy, riavviare Firefox e controllare about:policies e Authorities tramite l’impronta SHA-256 del certificato. Eliminare un’autorità importata manualmente in Settings > Privacy & Security > Certificates > View Certificates > Authorities. ImportEnterpriseRoots non installa certificati in Firefox; disabilitarlo impedisce solo l’uso delle radici del sistema operativo. Per il rollback, ripristinare la policy o reimportare l’autorità.

Per un’installazione Windows manuale o una pulizia residua approvata, aprire PowerShell come amministratore, sostituire l’impronta SHA-1 di Windows registrata, controllare l’unica corrispondenza e solo allora rimuoverla:

$thumbprint = "REPLACE_WITH_APPROVED_WINDOWS_SHA1_THUMBPRINT"
Get-ChildItem Cert:\LocalMachine\Root | Where-Object Thumbprint -eq $thumbprint | Format-List Subject,Thumbprint,NotAfter
Remove-Item -LiteralPath "Cert:\LocalMachine\Root\$thumbprint"
Get-ChildItem Cert:\LocalMachine\Root | Where-Object Thumbprint -eq $thumbprint

Nessun output dalla query finale è il risultato previsto. Per il rollback eseguire certutil.exe -addstore -f Root .\dns-protection-root.cer, verificare di nuovo i tre identificatori e ripetere il test. Dopo ogni metodo, confermare l’assenza nell’archivio e che nessuna policy reinstalli il certificato. Se non esiste un’altra catena attendibile, un dominio HTTPS innocuo bloccato nel pilota non deve più mostrare una catena Sophos attendibile; ripristinare la distribuzione anziché ignorare l’avviso. La rimozione della radice non disabilita DNS Protection.

Risoluzione dei problemi in base al sintomo

  • La pagina di blocco mostra un avviso relativo al certificato: Il certificato manca, si trova nell’archivio utente/computer sbagliato, è scaduto o è stato sostituito. Confrontare l’impronta digitale e la catena visualizzata. Controllare anche la policy di Firefox e il relativo archivio.
  • Il certificato è presente, ma macOS non lo considera attendibile: Un’installazione manuale potrebbe averlo importato senza selezionare Always Trust o averlo inserito nel portachiavi sbagliato.
  • Il test di configurazione funziona, ma la pagina di blocco non appare: Controllare il percorso DNS, la policy di filtro attiva, il dominio di prova, la cache DNS e la connettività del dominio della pagina di blocco. Il browser DoH potrebbe utilizzare un altro percorso di risoluzione.
  • Si verifica un errore in una sola applicazione: Probabilmente utilizza un archivio di attendibilità separato o il certificate pinning. Non disabilitare le protezioni a livello globale; identificare l’applicazione e il metodo di distribuzione supportato.
  • Alcuni dispositivi non funzionano dopo la rotazione: Confrontare lo stato di gestione, l’impronta digitale effettivamente installata, l’ultima sincronizzazione del dispositivo e i vecchi profili del browser. Ridistribuire la vecchia root solo come rollback limitato nel tempo.