תעודת ה-VPN שלך פגה היום: מה באמת נעצר

התראת הפקיעה נדלקת, המנהרה עדיין מעבירה תעבורה, ואף אחד לא מסכים אם התאריך חשוב. הוא חשוב, אבל לא תמיד ברגע שמודפס על התעודה. תעודה שפגה עוצרת אימותים חדשים, והיא עוצרת את האימותים החוזרים שכמה מימושים מבצעים בתוך הפעלה ארוכה. האם המנהרה הקיימת שלך תמות בחצות תלוי בפרוטוקול, בלקוח ובהגדרות המשא ומתן מחדש של השרת. תכננו את החידוש לפני התאריך ואמתו אותו בכניסה חדשה ולא בהפעלה שכבר הייתה פתוחה.

מצאו איזו תעודה באמת פגה

פריסה מכילה תעודת עלה של שרת, אישורי לקוח, תעודה מתווכת אחת או יותר ועוגן אמון, והם לא פגים יחד. קראו את התעודה הנקובה בשגיאה ואת השרשרת שאיתה היא הוצגה, לא את הקובץ הראשון בתיקיית הפרופיל. תעודת עלה של שרת שמתחדשת נקי עשויה עדיין להיכשל אם התעודה המתווכת שמעליה פגה. רשמו נושא, מנפיק, not-after ומיקום הפריסה של כל קובץ לפני שתשנו משהו.

עוגן האמון הוא בדרך כלל האובייקט הארוך ביותר בחייו והסיבה הפחות סבירה.

למה הפעלה חיה יכולה לשרוד את התאריך

אימות מתרחש בעת הקמת החיבור, וכמה פרוטוקולים בודקים זהות שוב מאוחר יותר. OpenVPN מנהל משא ומתן מחדש על ערוץ הנתונים לפי טיימר, ולכן משא ומתן מחדש שמציג תעודה שפגה נכשל גם אם המנהרה פועלת שעות. מימושים שלעולם לא מאמתים מחדש יכולים לשאת הפעלה מבוססת מעבר לתאריך הפקיעה, ולכן «זה עדיין עובד» אינו ראיה. אף אחת משתי ההתנהגויות אינה משהו שאפשר לתכנן סביבו.

התייחסו לתאריך כמועד האחרון לכניסות חדשות, ולמשך חיי ההפעלה כזמן שאול.

בדקו את השעון לפני שתאשימו את התעודה

התוקף מוערך מול השעון המקומי, ולכן מכשיר עם זמן שגוי מדווח על כשל תוקף בתעודה עדכנית לחלוטין. בדקו את הלקוח, את השרת וכל התקן בנתיב.

שעון שמתאפס באתחול מסביר כשלים שמופיעים רק אחרי הפסקת חשמל.

חדשו דרך הרשות שהנפיקה אותה

שמרו על הזהות, על המטרה המיועדת ועל תצורת מפתח תואמת. אם החידוש מכניס מנפיק חדש או תעודה מוצמדת, הלקוחות זקוקים לעדכון אמון מתואם ולא להחלפת קובץ בשרת. הגנו על מפתחות פרטיים במהלך ההנפקה וההפצה, כי תעודה מחודשת אינה מבטלת מפתח ישן שנחשף. איפוס סיסמה אינו חידוש, יהא אשר יהא כתוב בכרטיס.

פרסמו את השרשרת החדשה בשלמותה, כי עלה בלי המתווכת שלו הוא חצי חידוש שעובד רק במכונות שכבר שמרו אותו במטמון.

הוכיחו זאת בכניסה חדשה, שמרו על אפשרות חזרה

לאחר הפריסה, הקימו חיבור מורשה חדש מלקוח מייצג ותרגלו את היישום בפועל. בדקו שהשרשרת נמסרת כפי שהלקוחות מצפים ושאישור ביטול כלשהו נגיש. שמרו על חזרה שאינה תלויה באמון בחומר שפג, כדי שתוכלו לחזור למצב הקודם בלי להחליש את האימות. הסירו את הקבצים המיושנים רק לאחר שההחלפה אומתה.

הפעלות קיימות עשויות עדיין לשקף מצב קודם, ולכן אינן מוכיחות דבר לאף כיוון.

הסדר שאני משתמש בו ביום

אשרו את האובייקט שפג ואת השרשרת שלו, ואז אשרו את השעונים:

• איזו תעודה פגה, ולאיזו שרשרת היא שייכת.
• האם כל תעודה מתווכת נפרסה ופורסמה.
• שעוני הלקוח והשרת תואמים בתוך מרווח סביר.
• כניסה חדשה מצליחה מלקוח מייצג.
• מידע ביטול נגיש.
• קיימת חזרה שאינה מחלישה את האימות.

אחר כך חדשו, פרסו את השרשרת המלאה, בדקו בכניסה חדשה ורק לאחר מכן נקו. תקופות התוקף והכללים להערכתן מוגדרים בתקן RFC 5280, והתאריך אינו הפתעה אם הניטור שלכם עקב אחר האובייקט שבאמת פג.