VPN ziurtagiria berritzea haren identitatea aldatu gabe

Identitatea aldatzen duen ziurtagiri-berritzapena ez da berritzapen bat, mantentze-txartel bat daraman migrazioa baizik. Bezeroak izen bat, kate bat eta batzuetan gako zehatz bat egiaztatzen ditu, eta hirurak alda daitezke iraungitze-data aldatu gabe. Ordezko bat eskatu aurretik, idatzi bezeroak benetan zer egiaztatzen duen: ostalari-izena edo parekoaren identitatea, ziurtagiriaren helburua, gako-politika eta jaulkitze-katea. Berritzapena ohikoa edo koordinatua da, ordezkoak horietako zein aldatzen duen arabera.

Hiru baldintzek erabakitzen dute berritzapenaren forma

Hiru baldintzak hauek dira: zerbait hosto-ziurtagiria finkatzen duen, katea aldatzen den eta nor beste izena baliozkotzen duen. Erantzun bezeroaren aldetik, CAren erosotasunetik baino, bezeroa baita goizeko hiruretan huts egiten duena.

Hasi duzun ziurtagiria ikuskatzen. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName aginduak subjektua, jaulkitzailea, baliozkotasun-leihoa eta ziurtagiriak benetan balio duen izenak inprimatzen ditu. Azken eremu hori da garrantzitsuena eta gehien suposatzen dena: bezeroak fidatzen duen SAN bat baztertzen duen berritzapen-eskaera batek teknikoki baliozkoa eta funtzionalki okerra den ziurtagiri bat sortzen du. Kopiatu SAN zerrenda ziurtagiri zaharretik eskaerara, memoriatik berriz idatzi beharrean.

Lehen baldintza: zerbait hosto-ziurtagiria finkatzen du

Bezeroek mantendutako CA bat fidatzen badute eta izena baliozkotzen badute, gako berri batekin hosto-ziurtagiria berritzea ikusezina da haientzat. Bezeroen batek hosto-ziurtagiria, haren hatz-marka edo haren gako publikoa finkatzen badu, ordezkoa trantsizio gogorra duen aldaketa koordinatua da, finkatze zaharrak ezin baitu ziurtagiri berria baliozkotu.

Jakizu zein kasutan zauden ezer eskatu aurretik. Inork dokumentatu ez zuen finkatze bat finkatze bat da oraindik, apurtzen denean.

Bigarren baldintza: alderatu finkatzeak eta katea

Hatz-markek finkatzea egiaztagarri egiten dute: openssl x509 -noout -fingerprint -sha256 -in server.crt ziurtagiri zaharrean eta berrian, eta openssl x509 -noout -pubkey gako publikoak alderatzeko. Bezeroaren konfigurazioak, profil mugikor batek edo gailu baten konfiantza-biltegiak bi balio horietako bat badauka, finkatze bat duzu. VPN profil mugikorrak ohiko ezkutalekua dira, profila behin banatzen baita eta ez baita inoiz berriro ikuskatzen.

Ordezkoa bitarteko beretik badator eta bezeroak jada badauka edo lortu badezake, ez da ezer aldatzen konfiantzaren aldean. Bitarteko berri batek, jaulkitzaile desberdin batek edo ordena okerrean emandako kate batek berritzapena konfiantza-aldaketa bihurtzen dute, eta hutsegitea jaulkitzaile ezezagun baten itxura du, ez iraungitako ziurtagiri baten itxura.

Egiaztatu zerbitzariak benetan bidaltzen duen katea honekin: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts, eta egiaztatu lokalean honekin: openssl verify -CAfile ca.pem -untrusted chain.pem server.crt. Aldaketaren aurretik eginez gero, ondoren alderatzeko oinarrizko lerro bat duzu.

Hirugarren baldintza: nork baliozkotzen du izena beste

VPN kontzentratzaile batek, karga-balantzagailu batek, monitorizazio-proba batek, RADIUS edo SAML integrazio batek eta profil mugikor batek espero den izenaren edo konfiantza-ankeraren beren kopia izan dezakete. Berritzapena kopiak desberdintzen diren unea da, ziurtagiria aldatzen baita eta kopiak ez.

Zerrendatu kontsumitzaile bakoitza aldaketaren aurretik eta erabaki bakoitzarentzat eguneraketa behar duen. Ahazten duzuna da zuri deituko dizuna.

Denbora-tranpa bat ere badago. Egiaztatu baliozkotasunaren hasiera eta iraungitzea, aktibazio berantiarrerako prestatutako ziurtagiri bat baztertu egiten baita goizegi instalatzen bada, eta erroreak erloju-problema dirudi, prestaketa-problema izan beharrean. openssl x509 -noout -dates fitxategi berrian hedatu aurretik bi segundoko egiaztapena da. Mantendu berreskuratze-bide onartu bat eta jakitun ona den konfigurazioa ere, gaizki doan berritzapen bat atzera bueltagarria izan dadin aurreko ziurtagiria eta gakoa berrezarriz.

Hedatu, egiaztatu autentikazio berri batekin, eta gero erretiratu

Ezarritako tunelak eraiki zenean gertatu zen baliozkotzea islatzen du, beraz osasuntsu dirudi konexio berri guztiek huts egiten duten bitartean. Probatu autentikazio berri batekin, bezeroek erabiltzen duten zerbitzu-izen erreala erabiliz.

Osatu erabiltzaileari axola dion aplikazio-mailako egiaztapena, eta berretsi katearen entrega bezeroaren ikuspegitik, ez zerbitzariarenetik. Ez ezabatu izenaren edo ziurtagiriaren egiaztapenak trantsizioa isil mantentzeko; horrek bateragarritasun-problema iragankorra iraunkor bihurtzen du.

Erretiratu material zaharkitua hedapena egiaztatu ondoren soilik, eta tratatu konprometitutako gako bat erabat kasu desberdin gisa: berritzapenak bakarrik ez du ezer baliogabetzen, beraz kaltetutako identitateak hedapenaren baliogabetze- eta saio-kudeaketa-prozesua behar du. RFC 5280 zehazten ditu horren guztiaren azpian dauden ziurtagiri- eta bide-baliozkotze-arauak. Mantendu hosto-ziurtagiriaren ohiko berritzapena CA ordezkatzetik bereizita, bezeroei arrazoirik gabe jaulkitzaile berri bat fidatzeko eskatu ez dakien.