Il tuo certificato VPN scade oggi: cosa si ferma davvero

L’avviso di scadenza scatta, il tunnel sta ancora passando traffico e nessuno concorda se la data conti. Conta, ma non sempre nell’istante stampato sul certificato. Un certificato scaduto ferma le nuove autenticazioni e ferma le rivalidazioni che alcune implementazioni eseguono dentro una sessione di lunga durata. Se il tuo tunnel esistente muoia a mezzanotte dipende dal protocollo, dal client e dalle impostazioni di rinegoziazione del server. Pianifica il rinnovo prima della data e verificalo con un nuovo accesso invece che con la sessione già aperta.

Scopri quale certificato sta davvero scadendo

Un dispiegamento contiene un certificato foglia del server, credenziali del client, uno o più intermedi e un’ancora di fiducia, e non scadono insieme. Leggi il certificato nominato nell’errore e la catena con cui è stato presentato, non il primo file nella directory del profilo. Una foglia del server che si rinnova in modo pulito può comunque fallire se l’intermedio sopra di essa è scaduto. Annota soggetto, emittente, not-after e posizione di dispiegamento di ogni file prima di cambiare qualsiasi cosa.

L’ancora di fiducia è di solito l’oggetto più longevo e la causa meno probabile.

Perché una sessione viva può sopravvivere alla data

L’autenticazione avviene all’instaurazione della connessione, e alcuni protocolli ricontrollano l’identità più tardi. OpenVPN rinegozia il canale dati a tempo, quindi una rinegoziazione che presenta un certificato scaduto fallisce anche se il tunnel è attivo da ore. Le implementazioni che non rivalidano mai possono mantenere una sessione stabilita oltre la data di scadenza, ed è per questo che «funziona ancora» non è una prova. Nessuno dei due comportamenti è qualcosa su cui si possa pianificare.

Tratta la data come scadenza per i nuovi accessi e la vita della sessione come tempo preso in prestito.

Controlla l’orologio prima di dare la colpa al certificato

La validità è valutata rispetto all’orologio locale, quindi un dispositivo con l’ora sbagliata segnala un errore di validità per un certificato perfettamente attuale. Controlla il client, il server e qualsiasi apparato sul percorso.

Un orologio che si azzera all’avvio spiega i guasti che compaiono solo dopo un’interruzione di corrente.

Rinnova tramite l’autorità che lo ha emesso

Conserva l’identità, lo scopo previsto e una configurazione di chiave compatibile. Se il rinnovo introduce un nuovo emittente o un certificato appuntato, i client hanno bisogno di un aggiornamento di fiducia coordinato invece di uno scambio di file sul server. Proteggi le chiavi private durante l’emissione e la distribuzione, perché un certificato rinnovato non revoca una vecchia chiave compromessa. Reimpostare la password non è un rinnovo, qualunque cosa dica il ticket.

Pubblica la nuova catena per intero, perché una foglia senza il suo intermedio è mezzo rinnovo che funziona solo sulle macchine che l’hanno già in cache.

Dimostralo con un nuovo accesso, mantieni un ritorno indietro

Dopo il dispiegamento, stabilisci una nuova connessione consentita da un client rappresentativo e prova l’applicazione reale. Controlla che la catena sia consegnata come i client si aspettano e che qualsiasi informazione di revoca sia raggiungibile. Mantieni un ritorno indietro che non dipenda dal fidarsi di materiale scaduto, così puoi tornare allo stato precedente senza indebolire la verifica. Rimuovi i file obsoleti solo dopo che la sostituzione è verificata.

Le sessioni esistenti possono ancora riflettere uno stato precedente, quindi non provano nulla in nessuna direzione.

L’ordine che uso il giorno stesso

Conferma l’oggetto che scade e la sua catena, poi conferma gli orologi:

• Quale certificato scade e a quale catena appartiene.
• Se ogni intermedio è dispiegato e pubblicato.
• Gli orologi di client e server concordano entro un margine ragionevole.
• Un nuovo accesso riesce da un client rappresentativo.
• L’informazione di revoca è raggiungibile.
• Esiste un ritorno indietro che non indebolisce la verifica.

Poi rinnova, dispiega la catena completa, prova con un nuovo accesso e solo dopo pulisci. I periodi di validità e le regole per valutarli sono definiti in RFC 5280, e la data non è una sorpresa se il tuo monitoraggio osservava l’oggetto che scade davvero.