El teu certificat VPN caduca avui: què s’atura realment

L’alerta de caducitat salta, el túnel encara passa trànsit i ningú no es posa d’acord sobre si la data importa. Importa, però no sempre en l’instant imprès al certificat. Un certificat caducat atura les autenticacions noves i atura les revalidacions que algunes implementacions fan dins d’una sessió de llarga durada. Si el túnel existent mor a mitjanit depèn del protocol, del client i de la configuració de renegociació del servidor. Planifica la renovació abans de la data i verifica-la amb un inici de sessió nou, no amb la sessió que ja estava oberta.

Esbrina quin certificat caduca realment

Un desplegament conté un certificat full de servidor, credencials de client, un o més intermediaris i un ancoratge de confiança, i no caduquen junts. Llegeix el certificat que apareix a l’error i la cadena amb què es va presentar, no el primer fitxer del directori del perfil. Un full de servidor que es renova net pot fallar igualment si l’intermediari de sobre seu ha caducat. Anota el subjecte, l’emissor, el not-after i la ubicació de desplegament de cada fitxer abans de canviar res.

L’ancoratge de confiança sol ser l’objecte més longeu i la causa menys probable.

Per què una sessió viva pot sobreviure a la data

L’autenticació passa en establir la connexió, i alguns protocols tornen a comprovar la identitat més endavant. OpenVPN renegocia el canal de dades amb un temporitzador, així que una renegociació que presenta un certificat caducat falla encara que el túnel porti hores actiu. Les implementacions que no revaliden mai poden mantenir una sessió establerta més enllà de la data de caducitat, i per això «encara funciona» no és cap prova. Cap dels dos comportaments no és una cosa amb què es pugui planificar.

Tracta la data com el termini per als inicis de sessió nous i la durada de la sessió com a temps prestat.

Comprova el rellotge abans de culpar el certificat

La validesa s’avalua contra el rellotge local, així que un dispositiu amb l’hora incorrecta informa d’una fallada de validesa per a un certificat perfectament actual. Comprova el client, el servidor i qualsevol aparell del camí.

Un rellotge que es reinicia en arrencar explica les fallades que només apareixen després d’un tall de llum.

Renova a través de l’autoritat que el va emetre

Conserva la identitat, la finalitat prevista i una configuració de clau compatible. Si la renovació introdueix un emissor nou o un certificat fixat, els clients necessiten una actualització de confiança coordinada, no un canvi de fitxer al servidor. Protegeix les claus privades durant l’emissió i la distribució, perquè un certificat renovat no revoca una clau antiga compromesa. Restablir la contrasenya no és renovar, digui el que digui el tiquet.

Publica la cadena nova del tot, perquè un full sense el seu intermediari és mitja renovació que només funciona en màquines que ja l’han emmagatzemat.

Demostra-ho amb un inici de sessió nou, mantingues una reversió

Després del desplegament, estableix una connexió permesa nova des d’un client representatiu i prova l’aplicació real. Comprova que la cadena s’entrega com els clients esperen i que qualsevol informació de revocació és abastable. Mantingues una reversió que no depengui de confiar en material caducat, perquè puguis tornar a l’estat anterior sense debilitar la verificació. Elimina els fitxers obsolets només després que la substitució estigui verificada.

Les sessions existents poden reflectir encara un estat anterior, així que no proven res en cap sentit.

L’ordre que faig servir el dia

Confirma l’objecte que caduca i la seva cadena, i després confirma els rellotges:

• Quin certificat caduca i a quina cadena pertany.
• Si cada intermediari està desplegat i publicat.
• Els rellotges del client i del servidor coincideixen dins d’un marge raonable.
• Un inici de sessió nou té èxit des d’un client representatiu.
• La informació de revocació és abastable.
• Existeix una reversió que no debilita la verificació.

Després renova, desplega la cadena completa, prova amb un inici de sessió nou i només aleshores neteja. Els períodes de validesa i les regles per avaluar-los es defineixen a RFC 5280, i la data no és una sorpresa si el teu monitoratge vigilava l’objecte que realment caduca.