In VPN-sertifikaat fernije sûnder de identiteit te feroarjen

In sertifikaatfernijing dy't de identiteit feroaret is gjin fernijing, it is in migraasje yn in ûnderhâldsticket. De klant ferifiearret in namme, in keatling en soms in spesifike kaai, en dy trije kinne allegear feroarje sûnder dat de ferfaldatum feroaret. Skriuw foar it oanfreegjen fan in ferfanging op wat de klant eins kontrolearret: de hostnamme of peer-identiteit, it doel fan it sertifikaat, it kaaibelied en de útjaanende keatling. De fernijing is routine of koördinearre, ôfhinklik fan hokker fan dy saken de ferfanging feroaret.

Trije betingsten bepale de foarm fan 'e fernijing

De trije betingsten binne oft eat it blêd fêstset, oft de keatling feroaret, en wa't de namme noch mear falidearret. Beäntwurdzje se fan 'e klantkant ôf ynstee fan út it gemak fan 'e CA, want de klant is wat om trije oere nachts misgiet.

Begjin mei it ynspektearjen fan it sertifikaat dat jo hawwe. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName print it ûnderwerp, de útjouwer, it jildichheidsfinster en de nammen dêr't it sertifikaat eins jildich foar is. Dat lêste fjild is it wichtichst en wurdt it meast oannommen: in fernijingsfersyk dat in SAN weilitten dêr't de klant op fertrout, leveret in sertifikaat op dat technysk jildich en funksjoneel ferkeard is. Kopiearje de SAN-list fan it âlde sertifikaat yn it fersyk ynstee fan it út 't ûnthâld oer te typen.

Betingst ien: is der eat dat it blêd fêstset

As klanten in ûnderhâlden CA fertrouwe en de namme falidearje, is in blêdfernijing mei in nije kaai foar harren ûnsichtber. As ienige klant it blêdsertifikaat, syn fingerôfdruk of syn publike kaai fêstset, dan is de ferfanging in koördinearre feroaring mei in hurde oerstap, want de âlde pin kin it nije sertifikaat net falidearje.

Sykje út yn hokker gefal jo sitte foardat jo eat bestelle. In pin dy't nimmen dokumintearre is noch altyd in pin as er brekt.

Betingst twa: fergelykje de pins en de keatling

Fingerôfdrukken meitsje de pin kontrolearber: openssl x509 -noout -fingerprint -sha256 -in server.crt op it âlde en it nije sertifikaat, en openssl x509 -noout -pubkey om publike kaaien te fergelykjen. As de klantkonfiguraasje, in mobyl profyl of in appliance-fertrouwensopslach ien fan beide wearden befettet, dan hawwe jo in pin. Mobyle VPN-profylen binne in gewoan ferstopadres, want it profyl wurdt ien kear ferspraat en nea wer ynspektearre.

As de ferfanging fan deselde tuskenlizzende komt en de klant hat dy tuskenlizzende al of kin him ophelje, dan feroaret der neat oan 'e fertrouwenskant. In nije tuskenlizzende, in oare útjouwer of in keatling dy't yn 'e ferkearde folchoarder levere wurdt, meitsje fan in fernijing in fertrouwensferoaring, en de flater liket op in ûnbekende útjouwer ynstee fan op in ferrûn sertifikaat.

Kontrolearje de keatling dy't de server eins stjoert mei openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts, en ferifiearje him lokaal mei openssl verify -CAfile ca.pem -untrusted chain.pem server.crt. Dat foar de feroaring dwaan jout jo in basisline om efterôf tsjin te fergelykjen.

Betingst trije: wa falidearret de namme noch mear

In VPN-konsintrator, in load balancer, in monitoarringsprobe, in RADIUS- of SAML-ynstallaasje en in mobyl profyl kinne elk har eigen kopy hawwe fan 'e ferwachte namme of it fertrouwensanker. Fernijing is it momint dêr't dy kopyen útinoar gean, want it sertifikaat feroaret en de kopyen net.

Lis elke konsumint foar de feroaring op en beslút foar elk oft it in update nedich hat. De iene dy't jo ferjitte is de iene dy't jo opskrabje lit.

Der is ek in timingfal. Ynspektearje sawol it begjin fan 'e jildichheid as it ferfal, want in sertifikaat dat klearlein is foar letter aktivearjen wurdt wegere as it te betiid ynstallearre wurdt, en de flater liket op in klokprobleem ynstee fan op in klearleiprobeem. openssl x509 -noout -dates op it nije bestân foardat jo it útrôlje is in kontrôle fan twa sekonden. Hâld ek in stipe werstelpaad en de bekende-goede konfiguraasje by, sadat in fernijing dy't misgiet omkearber is troch it foarige sertifikaat en de kaai werom te setten.

Rôlje út, ferifiearje mei in nije autentikaasje, en beëinigje dan

In fêstige tunnel wjerspegelet de falidaasje dy't bard is doe't er boud waard, dus hy kin sûn lykje wylst elke nije ferbining misgiet. Test mei in nije autentikaasje mei de eigentlike tsjinstnamme dy't de klanten brûke.

Foltôgje de applikaasjenivo-kontrôle dêr't de brûker om jout, en befêstigje de keatlingleveransje fanút it perspektyf fan 'e klant ynstee fan fan 'e server. Underdruk namme- of sertifikaatkontrôles net om de oergong stil te hâlden; dat makket fan in tydlik kompatibiliteitsprobleem in permanint probleem.

Beëinigje ferâldere materiaal pas neidat de útrôl ferifiearre is, en behannelje in kompromittearre kaai folslein as in oar gefal: fernijing allinnich trekket neat yn, dus de oanbelange identiteit hat it yntrekkings- en sesjesbehearproses fan 'e ynstallaasje nedich. RFC 5280 definearret de sertifikaat- en paadfalidaasjeregels ûnder dit alles. Hâld in routine blêdfernijing skieden fan in CA-ferfanging, sadat klanten net frege wurde in nije útjouwer sûnder reden te fertrouwen.