Endurnýjun VPN-skírteina án þess að breyta auðkenninu

Endurnýjun skírteinis sem breytir auðkenninu er ekki endurnýjun, heldur flutningur í viðhaldsmiða. Viðskiptavinurinn staðfestir nafn, keðju og stundum tiltekinn lykil, og allt þrennt getur breyst án þess að gildistíminn breytist. Áður en þú biður um staðgengil skaltu skrifa niður hvað viðskiptavinurinn athugar í raun: hýsilnafnið eða auðkenni jafningsins, tilgang skírteinisins, lyklastefnuna og útgáfukeðjuna. Endurnýjunin er venjubundin eða samræmd eftir því hvað af þessu staðgengillinn breytir.

Þrjú skilyrði ráða lögun endurnýjunarinnar

Skilyrðin þrjú eru hvort eitthvað festir blaðið, hvort keðjan breytist og hverjir fleiri staðfesta nafnið. Svaraðu þeim frá hlið viðskiptavinarins frekar en af þægindum CA, því viðskiptavinurinn er það sem bregst klukkan þrjú að nóttu.

Byrjaðu á að skoða skírteinið sem þú hefur. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName prentar viðfangsefnið, útgefandann, gildistímabilið og nöfnin sem skírteinið er í raun gilt fyrir. Það síðasta skiptir mestu og er oftast gert ráð fyrir: endurnýjunarbeiðni sem sleppir SAN sem viðskiptavinurinn treystir á framleiðir skírteini sem er tæknilega gilt en virknilega rangt. Afritaðu SAN-listann úr gamla skírteininu í beiðnina í stað þess að slá hann aftur inn eftir minni.

Skilyrði eitt: festir eitthvað blaðið

Ef viðskiptavinir treysta viðhaldinni CA og staðfesta nafnið er endurnýjun blaðs með nýjum lykli ósýnileg þeim. Ef einhver viðskiptavinur festir blaðskírteinið, fingrafar þess eða opinberan lykil þess er staðgengillinn samræmd breyting með hörðum skiptum, því gamla festingin getur ekki staðfest nýja skírteinið.

Finndu út í hvaða tilfelli þú ert áður en þú pantar nokkuð. Festing sem enginn skjalfesti er enn festing þegar hún brotnar.

Skilyrði tvö: berðu saman festingarnar og keðjuna

Fingraför gera festinguna prófanlega: openssl x509 -noout -fingerprint -sha256 -in server.crt á gamla og nýja skírteininu, og openssl x509 -noout -pubkey til að bera saman opinbera lykla. Ef stilling viðskiptavinarins, farsímaprófíll eða traustgeymsla tækis inniheldur annað hvort gildið hefur þú festingu. Farsímaprófílar fyrir VPN eru algengur felustaður, því prófíllinn er dreift einu sinni og aldrei skoðaður aftur.

Ef staðgengillinn kemur frá sama millihlekk og viðskiptavinurinn hefur þegar þann millihlekk eða getur náð í hann breytist ekkert á traustshliðinni. Nýr millihlekkur, annar útgefandi eða keðja sem afhent er í rangri röð gera endurnýjun að traustsbreytingu, og bilunin lítur út eins og óþekktur útgefandi frekar en útrunnið skírteini.

Athugaðu keðjuna sem þjónninn sendir í raun með openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts og staðfestu hana staðbundið með openssl verify -CAfile ca.pem -untrusted chain.pem server.crt. Að gera það fyrir breytinguna gefur þér grunnlínu til að bera saman við síðar.

Skilyrði þrjú: hverjir fleiri staðfesta nafnið

VPN-safnari, hleðslujafnari, vöktunarpróf, RADIUS- eða SAML-samþætting og farsímaprófíll geta hver um sig haldið eigin afriti af væntanlegu nafni eða traustsakkeri. Endurnýjunin er augnablikið þegar þessi afrit fara í sundur, því skírteinið breytist og afritin gera það ekki.

Skráðu hvern neytanda fyrir breytinguna og ákveddu fyrir hvern hvort hann þurfi uppfærslu. Sá sem þú gleymir er sá sem hringir í þig.

Það er líka tímalega. Skoðaðu upphaf gildistímans sem og lokin, því skírteini sem er útbúið fyrir síðari virkjun er hafnað ef það er sett upp of snemma, og villan lítur út eins og klukkuvandamál frekar en undirbúningsvandamál. openssl x509 -noout -dates á nýju skránni áður en þú dreifir henni er tveggja sekúndna athugun. Haltu einnig studdri endurheimtarleið og þekktri góðri stillingu, svo hægt sé að afturkalla endurnýjun sem fer úrskeiðis með því að endurheimta fyrra skírteini og lykil.

Dreifðu, staðfestu með nýrri auðkenningu og dragðu svo út

Uppsett göng endurspegla staðfestinguna sem átti sér stað þegar þau voru byggð, svo þau geta litið heilbrigð út á meðan hver ný tenging bregst. Prófaðu með nýrri auðkenningu og raunverulega þjónustunafninu sem viðskiptavinirnir nota.

Ljúktu við athugunina á forritastigi sem notandanum er annt um og staðfestu afhendingu keðjunnar frá sjónarhóli viðskiptavinarins frekar en þjónsins. Ekki bæla niður nafn- eða skírteinisathuganir til að halda umskiptunum hljóðlátum; það gerir tímabundið samhæfisvandamál að varanlegu.

Dragðu úr notkun úrelt efni aðeins eftir að dreifingin hefur verið staðfest, og meðhöndla lykil sem hefur verið afhjúpaður sem allt annan flokk: endurnýjun ein og sér afturkallar ekkert, svo fyrir áhrifum auðkennið þarf afturköllunar- og lotustjórnunarferli dreifingarinnar. RFC 5280 skilgreinir skírteinis- og slóðastaðfestingarreglurnar undir öllu þessu. Haltu venjubundinni endurnýjun blaðs aðskilinni frá CA-skiptingu, svo ekki sé krafist þess að viðskiptavinir treysti nýjum útgefanda að ástæðulausu.