Iċ-ċertifikat VPN tiegħek jiskadi llum: x’jiġi verament waqfa

L-allarm tal-iskadenza jinxtegħel, it-tunnel għadu jgħaddi t-traffiku, u ħadd ma jaqbel jekk id-data hix importanti. Hija, iżda mhux dejjem fil-mument stampat fuq iċ-ċertifikat. Ċertifikat skadut iwaqqaf awtentikazzjonijiet ġodda, u jwaqqaf il-validazzjonijiet mill-ġdid li xi implimentazzjonijiet jagħmlu ġewwa sessjoni fit-tul. Jekk it-tunnel eżistenti tiegħek jmutx f’nofs il-lejl jiddependi mill-protokoll, mill-klijent u mis-settings ta’ negozjazzjoni mill-ġdid tas-server. Ippjana t-tiġdid qabel id-data u vverifikah b’login ġdid u mhux bis-sessjoni li kienet diġà miftuħa.

Sib liema ċertifikat qed jiskadi tassew

Skedar fih ċertifikat tal-werqa tas-server, kredenzjali tal-klijent, wieħed jew aktar ċertifikati intermedji u ankra ta’ fiduċja, u ma jiskadux flimkien. Aqra ċ-ċertifikat imsemmi fl-iżball u l-katina li biha ġie ppreżentat, mhux l-ewwel fajl fid-direttorju tal-profil. Ċertifikat tal-werqa tas-server li jiġġedded b’mod nadif xorta jista’ jonqos jekk l-intermedju fuqu skada. Innota s-suġġett, l-emittent, in-not-after u l-post tal-iskedar ta’ kull fajl qabel ma tbiddel xejn.

L-ankra ta’ fiduċja normalment hija l-oġġett l-itwal li jgħix u l-inqas kawża probabbli.

Għaliex sessjoni ħajja tista’ tgħix itwal mid-data

L-awtentikazzjoni sseħħ mal-istabbiliment tal-konnessjoni, u xi protokolli jerġgħu jiċċekkjaw l-identità aktar tard. OpenVPN jerġa’ jinnegozja l-kanal tad-data b’timer, għalhekk negozjazzjoni mill-ġdid li tippreżenta ċertifikat skadut tonqos anki jekk it-tunnel ilu għaddej sigħat. L-implimentazzjonijiet li qatt ma jivvalidaw mill-ġdid jistgħu jġorru sessjoni stabbilita lil hinn mid-data tal-iskadenza, u għalhekk «għadha taħdem» mhix prova. L-ebda waħda miż-żewġ imġiba mhija xi ħaġa li tista’ tippjana magħha.

Ittratta d-data bħala l-iskadenza għal logins ġodda, u l-ħajja tas-sessjoni bħala żmien misluf.

Iċċekkja l-arloġġ qabel ma tagħti l-ħtija liċ-ċertifikat

Il-validità tiġi evalwata kontra l-arloġġ lokali, għalhekk apparat b’ħin żbaljat jirrapporta falliment ta’ validità għal ċertifikat perfettament attwali. Iċċekkja l-klijent, is-server u kwalunkwe apparat fit-triq.

Arloġġ li jerġa’ jiġi stabbilit mal-boot jispjega fallimenti li jidhru biss wara qtugħ tad-dawl.

Iġġedded permezz tal-awtorità li ħarġitu

Żomm l-identità, l-għan maħsub u konfigurazzjoni tal-muftieħ kompatibbli. Jekk it-tiġdid idaħħal emittent ġdid jew ċertifikat imwaħħal, il-klijenti jeħtieġu aġġornament tal-fiduċja koordinat u mhux skambju ta’ fajl fuq is-server. Ipproteġi l-muftieħ privati waqt il-ħruġ u d-distribuzzjoni, għax ċertifikat imġedded ma jirrevokax muftieħ qadim kompromess. Ir-risettjar tal-password mhuwiex tiġdid, x’jgħid il-biljett.

Ippubblika l-katina l-ġdida kompletament, għax werqa mingħajr l-intermedju tagħha hija nofs tiġdid li jaħdem biss fuq magni li diġà għandhomha fil-cache.

Uriha b’login ġdid, żomm triq lura

Wara l-iskedar, stabbilixxi konnessjoni permessa ġdida minn klijent rappreżentattiv u pprova l-applikazzjoni vera. Iċċekkja li l-katina tiġi kkonsenjata kif jistennew il-klijenti u li kwalunkwe informazzjoni ta’ revoka hija aċċessibbli. Żomm triq lura li ma tiddependix milli tafda f’materjal skadut, sabiex tkun tista’ terġa’ lura għall-istat preċedenti mingħajr ma tiddgħajjef il-verifika. Neħħi l-fajls antiki biss wara li s-sostituzzjoni tiġi vverifikata.

Is-sessjonijiet eżistenti jistgħu għadhom jirriflettu stat preċedenti, għalhekk ma jippruvaw xejn f’ebda direzzjoni.

L-ordni li nuża dakinhar

Ikkonferma l-oġġett li qed jiskadi u l-katina tiegħu, imbagħad ikkonferma l-arloġġi:

• Liema ċertifikat jiskadi, u liema katina jappartjeni.
• Jekk kull intermedju hux skedat u ppubblikat.
• L-arloġġi tal-klijent u tas-server jaqblu f’marġni raġonevoli.
• Login ġdid jirnexxi minn klijent rappreżentattiv.
• L-informazzjoni tar-revoka hija aċċessibbli.
• Teżisti triq lura li ma tiddgħajjifx il-verifika.

Imbagħad iġġedded, skeda l-katina sħiħa, ittestja b’login ġdid, u naddaf biss wara. Il-perjodi tal-validità u r-regoli biex jiġu evalwati huma definiti fi RFC 5280, u d-data mhix sorpriża jekk il-monitoraġġ tiegħek kien qed jara l-oġġett li tassew jiskadi.