En VPN-Zertifikat erneieren, ouni seng Identitéit ze änneren

Eng Zertifikatserneierung, déi d'Identitéit ännert, ass keng Erneierung, et ass eng Migratioun an engem Maintenance-Ticket. De Client iwwerpréift en Numm, eng Kette an heiansdo e spezifesche Schlëssel, an all dräi kënne sech änneren, ouni datt de Verfallsdatum sech ännert. Ier Dir eng Ersatz ufrot, schreift op, wat de Client tatsächlech kontrolléiert: den Hostnumm oder d'Peer-Identitéit, den Zweck vum Zertifikat, d'Schlësselpolitik an d'Ausgabekette. D'Erneierung ass routine oder koordinéiert, jee nodeem wat vun deene Saachen den Ersatz ännert.

Dräi Konditiounen entscheeden d'Form vun der Erneierung

Déi dräi Konditiounen sinn, ob eppes d'Blat festhält, ob d'Kette sech ännert a wien nach den Numm validéiert. Äntwert se vun der Client-Säit, net vun der Bequemlechkeet vun der CA, well de Client ass et, deen um dräi Auer moies versot.

Fänkt un, andeems Dir d'Zertifikat iwwerpréift, wat Dir hutt. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName dréckt de Sujet, den Aussteller, d'Gëltegkeetsfënster an d'Nimm aus, fir déi d'Zertifikat tatsächlech gëlteg ass. Dat lescht Feld ass dat wichtegst a gëtt am meeschten ugeholl: eng Erneierungsufro, déi eng SAN ewechléisst, op déi de Client vertraut, produzéiert eng Zertifikat, dat technesch gëlteg a funktionell falsch ass. Kopéiert d'SAN-Lëscht aus dem ale Zertifikat an d'Ufro, amplaz se aus dem Gediechtnes nei ze tippen.

Konditioun een: hält eppes d'Blat fest

Wann d'Clienten enger ënnerhalener CA vertrauen an den Numm validéieren, ass eng Blaterneierung mat engem neie Schlëssel fir si onsichtbar. Wann ee Client d'Blatzertifikat, säi Fangerofdrock oder säi ëffentleche Schlëssel festhält, ass den Ersatz eng koordinéiert Ännerung mat engem harten Iwwergang, well dee alen Pin d'neit Zertifikat net validéiere kann.

Fannt eraus, a wéi engem Fall Dir sidd, ier Dir eppes bestellt. E Pin, deen keen dokumentéiert huet, ass nach ëmmer e Pin, wann en bricht.

Konditioun zwee: vergläicht d'Pins an d'Kette

Fangerofdréck maachen de Pin iwwerpréifbar: openssl x509 -noout -fingerprint -sha256 -in server.crt um alen an um neien Zertifikat, an openssl x509 -noout -pubkey fir d'ëffentlech Schlësselen ze vergläichen. Wann d'Clientkonfiguratioun, e mobilen Profil oder en Trust Store vun engem Apparat ee vun de Wäerter enthält, hutt Dir e Pin. Mobil VPN-Profiller sinn eng gewéinlech Versteckplaz, well de Profil eng Kéier verdeelt gëtt an duerno ni méi iwwerpréift gëtt.

Wann den Ersatz vum selwechten Intermediate kënnt an de Client deen Intermediate schonn huet oder en kann kréien, ännert sech näischt op der Vertrauenssäit. En neien Intermediate, en aneren Aussteller oder eng Kette, déi an der falscher Reihenfolge geliwwert gëtt, maachen aus enger Erneierung eng Vertrauensännerung, an de Feeler gesäit aus wéi en onbekannten Aussteller an net wéi en ofgelafenen Zertifikat.

Kontrolléiert d'Kette, déi de Server tatsächlech schéckt, mam openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts, a validéiert se lokal mam openssl verify -CAfile ca.pem -untrusted chain.pem server.crt. Dat virun der Ännerung ze maachen gëtt Iech eng Basis fir duerno ze vergläichen.

Konditioun dräi: wien nach den Numm validéiert

En VPN-Konzentrator, e Load Balancer, eng Monitoring-Probe, eng RADIUS- oder SAML-Integratioun an e mobilen Profil kënnen all hiren eegene Kopie vum erwaarten Numm oder dem Vertrauensanker halen. D'Erneierung ass de Moment, wou déi Kopien divergéieren, well d'Zertifikat sech ännert an d'Kopien net.

Lëscht all Konsument virun der Ännerung op a entscheet fir jiddereen, ob en en Update brauch. Dee, deen Dir vergiesst, ass deen, deen Iech rufft.

Et gëtt och eng Timing-Falle. Kontrolléiert den Ufank vun der Gëltegkeet souwéi den Ofschloss, well en Zertifikat, dat fir eng spéider Aktivéierung virbereet ass, ofgeleent gëtt, wann et ze fréi installéiert gëtt, an de Feeler gesäit aus wéi e Problem mat der Auer an net wéi e Virbereedungsproblem. openssl x509 -noout -dates um neie Fichier ier Dir en deployéiert ass eng Kontroll vun zwou Sekonnen. Halt och en ënnerstëtzte Recuperatiounswee an déi bekannt gutt Konfiguratioun, sou datt eng Erneierung, déi falsch geet, ëmkéierbar ass, andeems Dir dat viregt Zertifikat an de Schlëssel restauréiert.

Deployéiert, validéiert mat enger frëscher Authentifizéierung, dann zitt sech zeréck

En etabléierten Tunnel reflektéiert d'Validéierung, déi geschitt ass, wéi en gebaut gouf, dofir kann en gesond ausgesinn, während all nei Verbindung versot. Test mat enger frëscher Authentifizéierung mam tatsächlechen Déngschtnumm, deen d'Clienten benotzen.

Fëllt d'Kontroll op Applikatiounsniveau aus, déi dem Benotzer wichteg ass, a bestätegt d'Liwwerung vun der Kette aus der Perspektiv vum Client an net vum Server. Ënnerdréckt net d'Numm- oder Zertifikatskontrollen, fir den Iwwergang roueg ze halen; dat mécht aus engem temporäre Kompatibilitéitsproblem e permanente.

Zitt veraltent Material eréischt zeréck, nodeems den Deploiement validéiert ass, a behandelt en kompromittéierte Schlëssel als e ganz anere Fall: eng Erneierung eleng widerruft näischt, dofir brauch d'betraffend Identitéit de Widderruff- a Sessiounsmanagementprozess vum Deploiement. RFC 5280 definéiert d'Zertifikats- an d'Weevalidéierungsregelen ënner all dësem. Halt eng routine Blaterneierung getrennt vun engem CA-Ersatz, sou datt d'Clienten net gefrot ginn, engem neien Aussteller ouni Grond ze vertrauen.