Vaš VPN certifikat istječe danas: što zapravo prestaje

Upozorenje o isteku se aktivira, tunel još propušta promet, i nitko se ne slaže ima li datum značaja. Ima, ali ne uvijek u trenutku otisnutom na certifikatu. Istekli certifikat zaustavlja nove autentikacije i zaustavlja ponovne provjere koje neke implementacije izvode unutar dugotrajne sesije. Hoće li vaš postojeći tunel umrijeti u ponoć ovisi o protokolu, klijentu i postavkama ponovnog pregovaranja na poslužitelju. Planirajte obnovu prije datuma i provjerite je novom prijavom, a ne sesijom koja je već bila otvorena.

Pronađite koji certifikat zapravo istječe

Implementacija sadrži poslužiteljski lisni certifikat, klijentske akreditive, jedan ili više posredničkih certifikata i sidro povjerenja, i oni ne istječu zajedno. Čitajte certifikat naveden u grešci i lanac s kojim je predstavljen, a ne prvu datoteku u direktoriju profila. Poslužiteljski lisni certifikat koji se čisto obnavlja ipak može zakazati ako je posrednički iznad njega istekao. Zapišite subject, izdavatelja, not-after i lokaciju implementacije svake datoteke prije nego što bilo što promijenite.

Sidro povjerenja je obično najdugovječniji objekt i najmanje vjerojatan uzrok.

Zašto živa sesija može nadživjeti datum

Autentikacija se događa pri uspostavljanju veze, a neki protokoli kasnije ponovno provjeravaju identitet. OpenVPN ponovno pregovara o kanalu podataka po timeru, pa ponovno pregovaranje koje predstavlja istekli certifikat ne uspijeva iako je tunel aktivan satima. Implementacije koje nikada ne provjeravaju ponovno mogu nositi uspostavljenu sesiju preko datuma isteka, zbog čega „još radi“ nije dokaz. Nijedno od ta dva ponašanja nije nešto oko čega se može planirati.

Tretirajte datum kao krajnji rok za nove prijave, a životni vijek sesije kao posuđeno vrijeme.

Provjerite sat prije nego okrivite certifikat

Valjanost se ocjenjuje prema lokalnom satu, pa uređaj s pogrešnim vremenom prijavljuje neuspjeh valjanosti za certifikat koji je posve aktualan. Provjerite klijenta, poslužitelj i bilo koji uređaj na putu.

Sat koji se resetira pri podizanju objašnjava kvarove koji se pojavljuju samo nakon prekida napajanja.

Obnovite preko ustanove koja ga je izdala

Zadržite identitet, namijenjenu svrhu i kompatibilnu konfiguraciju ključa. Ako obnova uvodi novog izdavatelja ili prikvačeni certifikat, klijentima treba usklađeno ažuriranje povjerenja, a ne zamjena datoteke na poslužitelju. Zaštitite privatne ključeve tijekom izdavanja i distribucije, jer obnovljeni certifikat ne opoziva kompromitirani stari ključ. Reset lozinke nije obnova, što god tiket kaže.

Objavite novi lanac u potpunosti, jer lisni certifikat bez posredničkog je pola obnove koja radi samo na strojevima koji su ga već keširali.

Dokažite to novom prijavom, držite mogućnost vraćanja

Nakon implementacije uspostavite novu dopuštenu vezu s reprezentativnog klijenta i isprobajte stvarnu aplikaciju. Provjerite da se lanac dostavlja kako klijenti očekuju i da je bilo koja informacija o opozivu dostupna. Držite vraćanje koje ne ovisi o povjerenju u istekli materijal, da se možete vratiti u prethodno stanje bez slabljenja provjere. Uklonite zastarjele datoteke tek nakon što je zamjena provjerena.

Postojeće sesije mogu još odražavati ranije stanje, pa ne dokazuju ništa ni u jednom smjeru.

Redoslijed koji koristim tog dana

Potvrdite objekt kojem istječe rok i njegov lanac, zatim potvrdite satove:

• Koji certifikat istječe i kojem lancu pripada.
• Je li svaki posrednički certifikat implementiran i objavljen.
• Satovi klijenta i poslužitelja se slažu u razumnoj granici.
• Nova prijava uspijeva s reprezentativnog klijenta.
• Informacija o opozivu je dostupna.
• Postoji vraćanje koje ne slabi provjeru.

Zatim obnovite, implementirajte cijeli lanac, testirajte novom prijavom i tek onda počistite. Periodi valjanosti i pravila za njihovo ocjenjivanje definirani su u RFC 5280, a datum nije iznenađenje ako je vaš monitoring pratio objekt kojem zaista istječe rok.