Tiġdid ta' ċertifikat VPN mingħajr ma tinbidel l-identità tiegħu

Tiġdid ta' ċertifikat li jbiddel l-identità mhuwiex tiġdid, hija migrazzjoni liebsa biljett tal-manutenzjoni. Il-klijent jivverifika isem, katina u kultant ċavetta speċifika, u t-tlieta jistgħu jinbidlu mingħajr ma tinbidel id-data tal-iskadenza. Qabel ma titlob sostituzzjoni, ikteb x'jiċċekkja verament il-klijent: l-isem tal-host jew l-identità tal-pari, l-iskop taċ-ċertifikat, il-politika tal-ċwievet u l-katina tal-emittent. It-tiġdid huwa rutina jew ikkoordinat skont x'jibdel is-sostituzzjoni minn dawn.

Tliet kundizzjonijiet jiddeċiedu l-forma tat-tiġdid

It-tliet kundizzjonijiet huma jekk xi ħaġa torbotx il-werqa, jekk tinbidilx il-katina, u min ieħor jivverifika l-isem. Wieġeb min-naħa tal-klijent u mhux mill-kumdità tas-CA, għax il-klijent huwa dak li jonqos fit-tlieta ta' filgħodu.

Ibda billi tispezzjona ċ-ċertifikat li għandek. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName jistampa s-suġġett, l-emittent, it-tieqa tal-validità u l-ismijiet li ċ-ċertifikat huwa verament validu għalihom. Dak l-aħħar qasam huwa l-aktar importanti u l-aktar spiss preżunt: talba għal tiġdid li tħalli barra SAN li l-klijent jiddependi fuqu tipproduċi ċertifikat li huwa teknikament validu iżda funzjonalment ħażin. Ikkopja l-lista tas-SAN miċ-ċertifikat antik fit-talba minflok ma terġa' ttajpjaha mill-memorja.

Kundizzjoni waħda: xi ħaġa torbot il-werqa

Jekk il-klijenti jafdaw CA miżmuma u jivverifikaw l-isem, tiġdid tal-werqa b'ċavetta ġdida huwa inviżibbli għalihom. Jekk kwalunkwe klijent jorbot iċ-ċertifikat tal-werqa, il-marka tas-swaba' tiegħu jew iċ-ċavetta pubblika tiegħu, is-sostituzzjoni hija bidla kkoordinata b'bidla iebsa, għax il-marka l-antika ma tistax tivverifika ċ-ċertifikat il-ġdid.

Sib f'liema każ int qabel ma tordna xi ħaġa. Marka li ħadd ma dokumenta xorta waħda marka meta tinqasam.

Kundizzjoni tnejn: qabbel il-marki u l-katina

Il-marki tas-swaba' jagħmlu l-marka verifikabbli: openssl x509 -noout -fingerprint -sha256 -in server.crt fuq iċ-ċertifikat antik u l-ġdid, u openssl x509 -noout -pubkey biex tqabbel iċ-ċwievet pubbliċi. Jekk il-konfigurazzjoni tal-klijent, profil mobbli jew trust store ta' apparat fih wieħed miż-żewġ valuri, għandek marka. Il-profili VPN mobbli huma post moħbi komuni, għax il-profil jiġi mqassam darba u qatt ma jerġa' jiġi spezzjonat.

Jekk is-sostituzzjoni tiġi mill-istess intermedju u l-klijent diġà għandu dak l-intermedju jew jista' jġibu, xejn ma jinbidel fuq in-naħa tal-fiduċja. Intermedju ġdid, emittent differenti jew katina mwassla fl-ordni ħażina jibdlu tiġdid fi bidla ta' fiduċja, u l-falliment jidher bħala emittent mhux magħruf u mhux bħala ċertifikat skadut.

Ivverifika l-katina li s-server fil-fatt jibgħat b'openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts, u vvalidaha lokalment b'openssl verify -CAfile ca.pem -untrusted chain.pem server.crt. Li tagħmel dan qabel il-bidla jagħtik linja bażi biex tqabbel warajha.

Kundizzjoni tlieta: min ieħor jivverifika l-isem

Konċentratur VPN, bilanċjatur tat-tagħbija, sonda ta' monitoraġġ, integrazzjoni RADIUS jew SAML u profil mobbli kull wieħed jista' jżomm il-kopja tiegħu tal-isem mistenni jew tal-ankra tal-fiduċja. It-tiġdid huwa l-mument li fih dawk il-kopji jitbiegħdu, għax iċ-ċertifikat jinbidel u l-kopji ma jinbidlux.

Elenka kull konsumatur qabel il-bidla u iddeċiedi, għal kull wieħed, jekk għandux bżonn aġġornament. Dak li tinsa huwa dak li jċempel lilek.

Hemm ukoll nassa taż-żmien. Spezzjona l-bidu tal-validità kif ukoll l-iskadenza, għax ċertifikat ippreparat għal attivazzjoni aktar tard jiġi miċħud jekk jiġi installat kmieni wisq, u l-iżball jidher bħala problema tal-arloġġ u mhux bħala problema tat-tħejjija. openssl x509 -noout -dates fuq il-fajl il-ġdid qabel ma tiskjerah hija verifika ta' żewġ sekondi. Żomm ukoll mogħdija ta' rkupru appoġġjata u l-konfigurazzjoni magħrufa tajba, sabiex tiġdid li jmur ħażin ikun riversibbli billi jkun restawrat iċ-ċertifikat u ċ-ċavetta preċedenti.

Skjera, ivverifika b'autentikazzjoni friska, imbagħad irtira

Tunnel stabbilit jirrifletti l-verifika li saret meta nbniet, għalhekk jista' jidher f'saħħtu waqt li kull konnessjoni ġdida tfalli. Ittestja b'autentikazzjoni friska bl-isem tas-servizz reali li jużaw il-klijenti.

Lesti l-verifika fil-livell tal-applikazzjoni li l-utent jimpurtah minnha, u ikkonferma l-kunsinna tal-katina mill-perspettiva tal-klijent u mhux tas-server. Tissoprimx il-verifiki tal-isem jew taċ-ċertifikat biex iżżomm it-tranżizzjoni kwieta; dan ibiddel problema ta' kompatibilità temporanja f'waħda permanenti.

Irtira materjal skadut biss wara li l-iskjerament ikun ivverifikat, u ttratta ċavetta kompromessa bħala każ kompletament differenti: it-tiġdid waħdu ma jirrevokax xejn, għalhekk l-identità affettwata għandha bżonn il-proċess ta' revoka u ġestjoni tas-sessjonijiet tal-iskjerament. RFC 5280 jiddefinixxi r-regoli taċ-ċertifikat u tal-validazzjoni tal-mogħdija li huma l-bażi ta' dan kollu. Żomm tiġdid rutinari tal-werqa separat minn sostituzzjoni tas-CA, sabiex il-klijenti ma jiġux mitluba jafdaw emittent ġdid mingħajr raġuni.