VPN-sertifikatet ditt utløper i dag: hva som faktisk stopper

Utløpsvarselet utløses, tunnelen sender fortsatt trafikk, og ingen er enige om datoen betyr noe. Den gjør det, men ikke alltid på det tidspunktet som er trykt på sertifikatet. Et utløpt sertifikat stopper nye autentiseringer, og det stopper revalideringene som noen implementasjoner utfører inne i en langvarig sesjon. Om den eksisterende tunnelen din dør ved midnatt avhenger av protokollen, klienten og serverens innstillinger for re-forhandling. Planlegg fornyelsen før datoen og verifiser den med en ny innlogging i stedet for med sesjonen som allerede var oppe.

Finn ut hvilket sertifikat som faktisk utløper

En utrulling inneholder et serverblad, klientlegitimasjon, ett eller flere mellomsertifikater og et tillitsanker, og de utløper ikke sammen. Les sertifikatet som er nevnt i feilen, og kjeden det ble presentert med, ikke den første filen i profilmappen. Et serverblad som fornyes rent kan likevel feile hvis mellomsertifikatet over det er utløpt. Skriv ned subjekt, utsteder, not-after og utrullingsplassering for hver fil før du endrer noe.

Tillitsankeret er vanligvis det lengstlevende objektet og den minst sannsynlige årsaken.

Hvorfor en levende sesjon kan overleve datoen

Autentisering skjer ved oppsett av forbindelsen, og noen protokoller sjekker identiteten på nytt senere. OpenVPN forhandler datakanalen på nytt på en timer, så en re-forhandling som presenterer et utløpt sertifikat feiler selv om tunnelen har vært oppe i timer. Implementasjoner som aldri revaliderer, kan bære en etablert sesjon forbi utløpsdatoen, og derfor er «det virker fortsatt» ikke bevis. Ingen av de to atferdene er noe man kan planlegge etter.

Behandle datoen som fristen for nye innlogginger, og sesjonens levetid som lånt tid.

Kontroller klokken før du klandrer sertifikatet

Gyldighet vurderes mot den lokale klokken, så en enhet med feil tid rapporterer en gyldighetsfeil for et sertifikat som er helt oppdatert. Kontroller klienten, serveren og enhver enhet i banen.

En klokke som nullstilles ved oppstart forklarer feil som først vises etter et strømbrudd.

Forny gjennom myndigheten som utstedte det

Behold identiteten, det tiltenkte formålet og en kompatibel nøkkelkonfigurasjon. Hvis fornyelsen innfører en ny utsteder eller et festet sertifikat, trenger klientene en koordinert tillitsoppdatering i stedet for en filutskifting på serveren. Beskytt private nøkler under utstedelse og distribusjon, fordi et fornyet sertifikat ikke tilbakekaller en kompromittert gammel nøkkel. En tilbakestilling av passord er ikke en fornyelse, uansett hva saken sier.

Publiser den nye kjeden fullstendig, siden et blad uten mellomsertifikatet sitt er en halv fornyelse som bare virker på maskiner som allerede har det i hurtigbufferen.

Bevis det med en ny innlogging, behold en tilbakerulling

Etter utrullingen, opprett en ny tillatt forbindelse fra en representativ klient og prøv den faktiske applikasjonen. Kontroller at kjeden leveres som klientene forventer, og at eventuell tilbakekallingsinformasjon er tilgjengelig. Behold en tilbakerulling som ikke avhenger av å stole på utløpt materiale, slik at du kan gå tilbake til forrige tilstand uten å svekke verifiseringen. Fjern de utdaterte filene først etter at erstatningen er verifisert.

Eksisterende sesjoner kan fortsatt gjenspeile en tidligere tilstand, så de beviser ingenting i noen retning.

Rekkefølgen jeg bruker på dagen

Bekreft objektet som utløper og kjeden dets, og bekreft deretter klokkene:

• Hvilket sertifikat som utløper, og hvilken kjede det tilhører.
• Om hvert mellomsertifikat er rullet ut og publisert.
• Klient- og serverklokker stemmer overens innen rimelig margin.
• En ny innlogging lykkes fra en representativ klient.
• Tilbakekallingsinformasjon er tilgjengelig.
• Det finnes en tilbakerulling som ikke svekker verifiseringen.

Deretter fornyer du, ruller ut hele kjeden, tester med en ny innlogging og rydder først etterpå. Gyldighetsperioder og reglene for å vurdere dem er definert i RFC 5280, og datoen er ikke en overraskelse hvis overvåkingen din fulgte objektet som faktisk utløper.