Ären VPN-Zertifikat leeft haut of: wat tatsächlech stoppt

Den Oflafalarm geet un, den Tunnel transportéiert nach Verkéier, an et ass een eenzegen net d’accord, ob den Datum wichteg ass. Et ass, awer net ëmmer an deem Ament, deen op den Zertifikat gedréckt ass. En ofgelafenen Zertifikat stoppt nei Authentifizéierungen, an et stoppt d’Neivaliséierungen, déi verschidden Implementatiounen innerhalb enger laangduerender Sëtzung maachen. Ob ären existéierenden Tunnel um Mëtternuecht stierft, hänkt vum Protokoll, dem Client an den Astellunge vum Server fir Nei Verhandlungen of. Plangt d’Erneierung virum Datum an iwwerpréift se mat enger neier Umeldung amplaz mat der Sëtzung, déi schonn oppe war.

Fannt eraus, wéi en Zertifikat tatsächlech ofleeft

Eng Ausrollung enthält e Server-Blättaertifikat, Client-Akkreditiéierungen, een oder méi Tëschentzertifikater an eng Vertrauensverankerung, a si leeën net zesummen of. Liest den Zertifikat, dee an der Feeler genannt gëtt, an d’Kette, mat där e presentéiert gouf, net déi éischt Datei am Profil-Verzeechnis. E Server-Blättaertifikat, dee propper erneiert gëtt, kann nach ëmmer feelen, wann den Tëschentzertifikat driwwer ofgelaf ass. Schreift Sujet, Aussteller, not-after an d’Ausrollungsplaz vun all Datei op, ier Dir eppes ännert.

D’Vertrauensverankerung ass meeschtens den Objet mat der längster Liewensdauer an déi mannst wahrscheinlech Ursaach.

Firwat eng lieweg Sëtzung den Datum iwwerleeë kann

D’Authentifizéierung geschitt beim Opbau vun der Verbindung, a verschidde Protokoller iwwerpréiwen d’Identitéit méi spéit nach eng Kéier. OpenVPN verhandelt de Datekanal op engem Timer nei, sou datt eng Neiverhandlung, déi en ofgelafenen Zertifikat presentéiert, feelt, och wann den Tunnel schonn zënter Stonnen uewe war. Implementatiounen, déi ni nei valiséieren, kënnen eng etabléiert Sëtzung iwwer den Oflafdatum droen, an dofir ass «et funktionéiert nach» keen Beweis. Et ass näischt vun deenen zwee Verhalen, wat een astellen kann.

Behandelt den Datum als Delai fir nei Umeldungen an d’Liewensdauer vun der Sëtzung als geléint Zäit.

Kontrolléiert d’Auer, éier Dir den Zertifikat beschëllegt

D’Gültegkeet gëtt géint d’lokal Auer bewäert, sou datt en Apparat mat enger falscher Zäit e Gültegkeetsfeeler fir en Zertifikat mellt, deen nach vollstänneg aktuell ass. Kontrolléiert de Client, de Server an all Apparat am Wee.

Eng Auer, déi beim Start zréckgesat gëtt, erklärt Feelere, déi nëmmen no engem Stroumausfall optrieden.

Erneiert iwwer d’Autoritéit, déi e virgestallt huet

Behält d’Identitéit, de virgesinn Zweck an eng kompatibel Schlësselkonfiguratioun. Wann d’Erneierung en neien Aussteller oder en ugespaante Zertifikat bréngt, brauchen d’Cliente eng koordinéiert Vertrauensaktualiséierung anstatt en Dateiaustausch um Server. Schützt privat Schlësselen während der Ausstellung an der Verdeelung, well en erneierten Zertifikat en kompromittéierte ale Schlëssel net zréckzitt. Eng Passwuert-Zrécksetzung ass keng Erneierung, wat den Ticket och seet.

Veröffentlicht d’nei Kette komplett, well e Blat ouni säin Tëschentzertifikat eng hallef Erneierung ass, déi nëmmen op Maschinne funktionéiert, déi et schonn am Cache hunn.

Beweist et mat enger neier Umeldung, behält eng Zréckroll

Nom Ausrollen, baut eng nei erlaabte Verbindung vun engem representative Client op a probéiert déi tatsächlech Uwendung. Kontrolléiert, datt d’Kette sou geliwwert gëtt, wéi d’Cliente et erwaarden, a datt all Informatioun iwwer d’Zréckzéien erreechbar ass. Behält eng Zréckroll, déi net op Vertrauen an ofgelafene Material setzt, sou datt Dir ouni d’Iwwerpréiwung ze schwächen an den virege Stand zréckkommt. Entfernt déi al Dateien nëmmen, nodeems den Ersatz iwwerpréift gouf.

Bestoend Sëtzunge kënnen nach de fréiere Stand reflektéieren, dofir beweise si a keng Richtung eppes.

D’Reiefolleg, déi ech um Dag benotzen

Bestätegt den Objet, deen ofleeft, a seng Kette, da bestätegt d’Aueren:

• Wéi en Zertifikat ofleeft, a wéi enger Kette e gehéiert.
• Ob all Tëschentzertifikat ausgerullt an veröffentlicht ass.
• D’Aueren vum Client an dem Server stëmmen an engem vernünftege Spillraum iwweren.
• Eng nei Umeldung geléngt vun engem representative Client.
• D’Informatioun iwwer d’Zréckzéien ass erreechbar.
• Et gëtt eng Zréckroll, déi d’Iwwerpréiwung net schwächt.

Da erneiert, rollt déi komplett Kette aus, testt mat enger neier Umeldung, a räumt eréischt duerno op. D’Gültegkeetsdaueren an d’Regele fir hir Bewäertung sinn an RFC 5280 definéiert, an den Datum ass keng Iwwerraschung, wann ärt Iwwerwaachung den Objet iwwerwaacht huet, deen tatsächlech ofleeft.