A VPN-tanúsítványa ma lejár: mi áll le valójában

A lejárati riasztás bekapcsol, az alagút még mindig továbbítja a forgalmat, és senki sem ért egyet abban, hogy számít-e a dátum. Számít, de nem mindig a tanúsítványra nyomtatott pillanatban. A lejárt tanúsítvány leállítja az új hitelesítéseket, és leállítja azokat az újraérvényesítéseket is, amelyeket egyes implementációk egy hosszú élettartamú munkameneten belül végeznek. Hogy a meglévő alagútja éjfélkor meghal-e, a protokolltól, a kliensől és a kiszolgáló újratárgyalási beállításaitól függ. Tervezze meg a megújítást a dátum előtt, és ellenőrizze egy friss bejelentkezéssel, ne a már nyitott munkamenettel.

Derítse ki, melyik tanúsítvány jár le valójában

Egy telepítés tartalmaz egy kiszolgáló levéltanúsítványt, kliens hitelesítő adatokat, egy vagy több köztes tanúsítványt és egy bizalmi horgonyt, és ezek nem egyszerre járnak le. A hibában megnevezett tanúsítványt és azt a láncot olvassa, amellyel bemutatták, ne a profilkönyvtár első fájlját. Egy tisztán megújítható kiszolgáló levéltanúsítvány is meghiúsulhat, ha a felette lévő köztes tanúsítvány lejárt. Mielőtt bármit módosít, írja fel minden fájl tárgyát, kibocsátóját, not-after értékét és telepítési helyét.

A bizalmi horgony általában a leghosszabb élettartamú objektum és a legkevésbé valószínű ok.

Miért élhet túl egy élő munkamenet a dátumon

A hitelesítés a kapcsolat létrehozásakor történik, és egyes protokollok később újra ellenőrzik az identitást. Az OpenVPN időzítő szerint újratárgyalja az adatcsatornát, így a lejárt tanúsítványt bemutató újratárgyalás meghiúsul, még ha az alagút órák óta fut is. Azok az implementációk, amelyek soha nem érvényesítenek újra, a létrehozott munkamenetet a lejárati dátumon túl is vihetik, ezért a «még mindig működik» nem bizonyíték. Egyik viselkedés sem olyan, amire tervezni lehet.

Tekintse a dátumot az új bejelentkezések határidejének, a munkamenet élettartamát pedig kölcsönvett időnek.

Ellenőrizze az órát, mielőtt a tanúsítványt okolná

Az érvényességet a helyi órához viszonyítva értékelik, ezért egy rossz időt mutató eszköz érvényességi hibát jelent egy teljesen aktuális tanúsítványhoz. Ellenőrizze a klienst, a kiszolgálót és az útvonalon lévő bármely eszközt.

A rendszerindításkor visszaálló óra magyarázza azokat a hibákat, amelyek csak áramkimaradás után jelennek meg.

A kibocsátó hatóságon keresztül újítsa meg

Őrizze meg az identitást, a tervezett rendeltetést és a kompatibilis kulcskonfigurációt. Ha a megújítás új kibocsátót vagy rögzített tanúsítványt vezet be, a klienseknek összehangolt bizalmi frissítésre van szükségük, nem kiszolgálói fájlcserére. Védje a privát kulcsokat a kibocsátás és a terjesztés alatt, mert a megújított tanúsítvány nem vonja vissza a kompromittált régi kulcsot. A jelszó visszaállítása nem megújítás, bármit is mond a jegy.

Tegye közzé az új láncot teljesen, mert a köztes nélküli levél fél megújítás, amely csak azokon a gépeken működik, amelyek már gyorsítótárba helyezték.

Bizonyítsa friss bejelentkezéssel, tartson fenn visszaállítási lehetőséget

A telepítés után hozzon létre új engedélyezett kapcsolatot egy reprezentatív kliensről, és próbálja ki a tényleges alkalmazást. Ellenőrizze, hogy a lánc úgy kerül átadásra, ahogy a kliensek várják, és hogy bármely visszavonási információ elérhető. Tartson fenn olyan visszaállítást, amely nem függ a lejárt anyagban való bizalomtól, hogy az ellenőrzés gyengítése nélkül térhessen vissza az előző állapotba. Csak azután távolítsa el az elavult fájlokat, hogy a csere ellenőrzése megtörtént.

A meglévő munkamenetek még a korábbi állapotot tükrözhetik, így semmilyen irányban nem bizonyítanak semmit.

A sorrend, amelyet aznap használok

Erősítse meg a lejáró objektumot és annak láncát, majd erősítse meg az órákat:

• Melyik tanúsítvány jár le, és melyik lánchoz tartozik.
• Minden köztes tanúsítvány telepítve és közzétéve van-e.
• A kliens és a kiszolgáló órája ésszerű határon belül egyezik.
• Egy friss bejelentkezés sikerül egy reprezentatív kliensről.
• A visszavonási információ elérhető.
• Létezik olyan visszaállítás, amely nem gyengíti az ellenőrzést.

Ezután újítson meg, telepítse a teljes láncot, teszteljen friss bejelentkezéssel, és csak ezután takarítson. Az érvényességi időszakokat és értékelésük szabályait a RFC 5280 határozza meg, és a dátum nem meglepetés, ha a megfigyelése azt az objektumot figyelte, amely valóban lejár.