VPN-varmenteenne vanhenee tänään: mikä oikeasti pysähtyy

Vanhenemishälytys laukeaa, tunneli välittää yhä liikennettä, eikä kukaan ole yhtä mieltä siitä, onko päivämäärällä merkitystä. On, mutta ei aina hetkellä, joka on painettu varmenteeseen. Vanhentunut varmenne pysäyttää uudet todennukset ja pysäyttää uudelleenvalidoinnit, joita jotkin toteutukset tekevät pitkäikäisen istunnon sisällä. Kuoleeko nykyinen tunnelisi keskiyöllä, riippuu protokollasta, asiakkaasta ja palvelimen uudelleenneuvotteluasetuksista. Suunnittele uusiminen ennen päivämäärää ja varmista se uudella kirjautumisella eikä istunnolla, joka oli jo auki.

Selvitä, mikä varmenne oikeasti vanhenee

Käyttöönotto sisältää palvelimen lehtivarmenteen, asiakkaan tunnistetiedot, yhden tai useamman välivarmenteen ja luottamusanakkurin, eivätkä ne vanhene yhdessä. Lue virheessä nimetty varmenne ja ketju, jonka kanssa se esitettiin, älä profiilihakemiston ensimmäistä tiedostoa. Palvelimen lehtivarmenne, joka uusiutuu puhtaasti, voi silti epäonnistua, jos sen yläpuolella oleva välivarmenne on vanhentunut. Kirjoita ylös kunkin tiedoston subjekti, myöntäjä, not-after ja käyttöönottosijainti ennen kuin muutat mitään.

Luottamusanakkuri on yleensä pisimpään elävä objekti ja epätodennäköisin syy.

Miksi elävä istunto voi kestää päivämäärän yli

Todennus tapahtuu yhteyden muodostuksessa, ja jotkin protokollat tarkistavat identiteetin myöhemmin uudelleen. OpenVPN neuvottelee datakanavan uudelleen ajastimella, joten vanhentuneen varmenteen esittävä uudelleenneuvottelu epäonnistuu, vaikka tunneli on ollut pystyssä tunteja. Toteutukset, jotka eivät koskaan validoi uudelleen, voivat kantaa muodostetun istunnon vanhenemispäivämäärän yli, ja siksi «se toimii yhä» ei ole todiste. Kumpikaan käyttäytyminen ei ole jotain, minkä varaan voi suunnitella.

Kohtele päivämäärää uusien kirjautumisten määräaikana ja istunnon elinikää lainattuna aikana.

Tarkista kello ennen kuin syytät varmennetta

Voimassaolo arvioidaan paikallista kelloa vasten, joten väärällä ajalla oleva laite raportoi voimassaolovirheen täysin ajantasaisesta varmenteesta. Tarkista asiakas, palvelin ja mikä tahansa laite polulla.

Kello, joka nollautuu käynnistyksessä, selittää viat, jotka ilmenevät vain sähkökatkon jälkeen.

Uusi se viranomaisen kautta, joka sen myönsi

Säilytä identiteetti, käyttötarkoitus ja yhteensopiva avainkokoonpano. Jos uusiminen tuo uuden myöntäjän tai kiinnitetyn varmenteen, asiakkaat tarvitsevat koordinoidun luottamuspäivityksen eivätkä palvelimen tiedostovaihtoa. Suojaa yksityiset avaimet myöntämisen ja jakelun aikana, koska uusittu varmenne ei mitätöi vaarantunutta vanhaa avainta. Salasanan nollaus ei ole uusiminen, mitä tiketti sanookin.

Julkaise uusi ketju kokonaan, sillä lehti ilman välivarmennettaan on puolikas uusiminen, joka toimii vain koneilla, jotka ovat jo välimuistittaneet sen.

Todista se uudella kirjautumisella, pidä palautusmahdollisuus

Ota käyttöönoton jälkeen uusi sallittu yhteys edustavasta asiakkaasta ja kokeile varsinaista sovellusta. Tarkista, että ketju toimitetaan niin kuin asiakkaat odottavat ja että mahdollinen mitätöintitieto on tavoitettavissa. Pidä palautus, joka ei nojaa vanhentuneen materiaalin luottamiseen, jotta voit palata aiempaan tilaan heikentämättä varmennusta. Poista vanhentuneet tiedostot vasta, kun korvaaja on varmistettu.

Nykyiset istunnot voivat yhä heijastaa aiempaa tilaa, joten ne eivät todista mitään kumpaankaan suuntaan.

Järjestys, jota käytän sinä päivänä

Vahvista vanheneva objekti ja sen ketju ja vahvista sitten kellot:

• Mikä varmenne vanhenee ja mihin ketjuun se kuuluu.
• Onko jokainen välivarmenne otettu käyttöön ja julkaistu.
• Asiakkaan ja palvelimen kellot osuvat yhteen kohtuullisella marginaalilla.
• Uusi kirjautuminen onnistuu edustavasta asiakkaasta.
• Mitätöintitieto on tavoitettavissa.
• On olemassa palautus, joka ei heikennä varmennusta.

Uusi sitten, ota käyttöön koko ketju, testaa uudella kirjautumisella ja siivoa vasta sen jälkeen. Voimassaolojaksot ja niiden arviointisäännöt määritellään julkaisussa RFC 5280, eikä päivämäärä ole yllätys, jos valvontasi seurasi objektia, joka todella vanhenee.