Sertifikat VPN Anda kedaluwarsa hari ini: apa yang benar-benar berhenti

Peringatan kedaluwarsa berbunyi, terowongan masih melewatkan lalu lintas, dan tidak ada yang sepakat apakah tanggalnya penting. Penting, tetapi tidak selalu pada saat yang tercetak di sertifikat. Sertifikat yang kedaluwarsa menghentikan autentikasi baru, dan menghentikan validasi ulang yang dilakukan sebagian implementasi di dalam sesi berumur panjang. Apakah terowongan Anda yang ada mati tengah malam bergantung pada protokol, klien, dan pengaturan negosiasi ulang server. Rencanakan pembaruan sebelum tanggal dan verifikasi dengan login baru, bukan dengan sesi yang sudah terbuka.

Cari tahu sertifikat mana yang benar-benar kedaluwarsa

Satu penerapan memuat sertifikat daun server, kredensial klien, satu atau lebih sertifikat perantara, dan jangkar kepercayaan, dan semuanya tidak kedaluwarsa bersamaan. Baca sertifikat yang disebut dalam galat dan rantai yang disertakannya, bukan berkas pertama di direktori profil. Sertifikat daun server yang diperbarui dengan bersih tetap bisa gagal jika perantara di atasnya kedaluwarsa. Catat subjek, penerbit, not-after, dan lokasi penerapan setiap berkas sebelum Anda mengubah apa pun.

Jangkar kepercayaan biasanya adalah objek berumur paling panjang dan penyebab paling tidak mungkin.

Mengapa sesi aktif bisa bertahan melewati tanggal

Autentikasi terjadi saat koneksi disiapkan, dan sebagian protokol memeriksa identitas lagi nanti. OpenVPN menegosiasikan ulang kanal data dengan pengatur waktu, sehingga negosiasi ulang yang menyertakan sertifikat kedaluwarsa gagal meskipun terowongan sudah aktif berjam-jam. Implementasi yang tidak pernah memvalidasi ulang dapat membawa sesi yang sudah terbentuk melewati tanggal kedaluwarsa, dan itulah sebabnya «masih berfungsi» bukan bukti. Tidak ada satu pun dari kedua perilaku itu yang bisa direncanakan.

Perlakukan tanggal itu sebagai tenggat login baru, dan masa hidup sesi sebagai waktu pinjaman.

Periksa jam sebelum menyalahkan sertifikat

Validitas dinilai terhadap jam lokal, jadi perangkat dengan waktu salah melaporkan kegagalan validitas untuk sertifikat yang sepenuhnya mutakhir. Periksa klien, server, dan perangkat apa pun di jalur.

Jam yang tereset saat boot menjelaskan kegagalan yang muncul hanya setelah listrik padam.

Perbarui melalui otoritas yang menerbitkannya

Pertahankan identitas, tujuan yang dimaksudkan, dan konfigurasi kunci yang kompatibel. Jika pembaruan memasukkan penerbit baru atau sertifikat yang disematkan, klien memerlukan pembaruan kepercayaan yang terkoordinasi, bukan penukaran berkas di server. Lindungi kunci privat selama penerbitan dan distribusi, karena sertifikat yang diperbarui tidak mencabut kunci lama yang sudah disusupi. Setel ulang kata sandi bukan pembaruan, apa pun kata tiketnya.

Terbitkan rantai baru secara lengkap, karena daun tanpa perantaranya adalah setengah pembaruan yang hanya berfungsi di mesin yang sudah menyimpannya di cache.

Buktikan dengan login baru, pertahankan jalur mundur

Setelah penerapan, buat koneksi yang diizinkan baru dari klien perwakilan dan uji aplikasi sebenarnya. Periksa bahwa rantai dikirim seperti yang diharapkan klien dan bahwa informasi pencabutan apa pun dapat dijangkau. Pertahankan jalur mundur yang tidak bergantung pada mempercayai materi kedaluwarsa, agar Anda dapat kembali ke keadaan sebelumnya tanpa melemahkan verifikasi. Hapus berkas usang hanya setelah penggantinya terverifikasi.

Sesi yang ada mungkin masih mencerminkan keadaan sebelumnya, jadi tidak membuktikan apa pun ke arah mana pun.

Urutan yang saya pakai pada hari itu

Pastikan objek yang kedaluwarsa dan rantainya, lalu pastikan jamnya:

• Sertifikat mana yang kedaluwarsa, dan ke rantai mana ia termasuk.
• Apakah setiap perantara sudah diterapkan dan diterbitkan.
• Jam klien dan server sepakat dalam batas yang wajar.
• Login baru berhasil dari klien perwakilan.
• Informasi pencabutan dapat dijangkau.
• Ada jalur mundur yang tidak melemahkan verifikasi.

Lalu perbarui, terapkan rantai lengkap, uji dengan login baru, dan baru setelah itu bersihkan. Periode validitas dan aturan penilaiannya didefinisikan dalam RFC 5280, dan tanggalnya bukan kejutan jika pemantauan Anda mengawasi objek yang benar-benar kedaluwarsa.