VPN certifikat vam ističe danas: šta zapravo prestaje

Upozorenje o isteku se aktivira, tunel još propušta saobraćaj, i niko se ne slaže da li datum ima značaj. Ima, ali ne uvijek u trenutku otisnutom na certifikatu. Istekli certifikat zaustavlja nove autentikacije i zaustavlja ponovne provjere koje neke implementacije izvode unutar dugotrajne sesije. Da li će vaš postojeći tunel umrijeti u ponoć zavisi od protokola, klijenta i postavki ponovnog pregovaranja na serveru. Planirajte obnovu prije datuma i provjerite je novom prijavom, a ne sesijom koja je već bila otvorena.

Pronađite koji certifikat zapravo ističe

Implementacija sadrži serverski lisni certifikat, klijentske akreditive, jedan ili više posredničkih certifikata i sidro povjerenja, i oni ne ističu zajedno. Čitajte certifikat naveden u grešci i lanac s kojim je predstavljen, a ne prvu datoteku u direktoriju profila. Serverski lisni certifikat koji se čisto obnavlja ipak može zakazati ako je posrednički iznad njega istekao. Zapišite subject, izdavaoca, not-after i lokaciju implementacije svake datoteke prije nego što bilo šta promijenite.

Sidro povjerenja je obično najdugovječniji objekat i najmanje vjerovatan uzrok.

Zašto živa sesija može nadživjeti datum

Autentikacija se dešava pri uspostavljanju veze, a neki protokoli kasnije ponovo provjeravaju identitet. OpenVPN ponovo pregovara o kanalu podataka po tajmeru, pa ponovno pregovaranje koje predstavlja istekli certifikat ne uspijeva iako je tunel aktivan satima. Implementacije koje nikada ne provjeravaju ponovo mogu nositi uspostavljenu sesiju preko datuma isteka, zbog čega „još radi“ nije dokaz. Nijedno od ta dva ponašanja nije nešto oko čega se može planirati.

Tretirajte datum kao krajnji rok za nove prijave, a životni vijek sesije kao pozajmljeno vrijeme.

Provjerite sat prije nego okrivite certifikat

Valjanost se ocjenjuje prema lokalnom satu, pa uređaj s pogrešnim vremenom prijavljuje neuspjeh valjanosti za certifikat koji je potpuno aktuelan. Provjerite klijenta, server i bilo koji uređaj na putu.

Sat koji se resetuje pri podizanju objašnjava kvarove koji se pojavljuju samo nakon prekida napajanja.

Obnovite preko ustanove koja ga je izdala

Zadržite identitet, namijenjenu svrhu i kompatibilnu konfiguraciju ključa. Ako obnova uvodi novog izdavaoca ili prikvačeni certifikat, klijentima treba usklađeno ažuriranje povjerenja, a ne zamjena datoteke na serveru. Zaštitite privatne ključeve tokom izdavanja i distribucije, jer obnovljeni certifikat ne opoziva kompromitovani stari ključ. Reset lozinke nije obnova, šta god tiket kaže.

Objavite novi lanac u potpunosti, jer lisni certifikat bez posredničkog je pola obnove koja radi samo na mašinama koje su ga već keširale.

Dokažite to novom prijavom, držite mogućnost vraćanja

Nakon implementacije uspostavite novu dozvoljenu vezu s reprezentativnog klijenta i isprobajte stvarnu aplikaciju. Provjerite da se lanac dostavlja kako klijenti očekuju i da je bilo koja informacija o opozivu dostupna. Držite vraćanje koje ne zavisi od povjerenja u istekli materijal, da se možete vratiti u prethodno stanje bez slabljenja provjere. Uklonite zastarjele datoteke tek nakon što je zamjena provjerena.

Postojeće sesije mogu još odražavati ranije stanje, pa ne dokazuju ništa ni u jednom smjeru.

Redoslijed koji koristim tog dana

Potvrdite objekat kojem ističe rok i njegov lanac, zatim potvrdite satove:

• Koji certifikat ističe i kojem lancu pripada.
• Da li je svaki posrednički certifikat implementiran i objavljen.
• Satovi klijenta i servera se slažu u razumnoj granici.
• Nova prijava uspijeva s reprezentativnog klijenta.
• Informacija o opozivu je dostupna.
• Postoji vraćanje koje ne slabi provjeru.

Zatim obnovite, implementirajte cijeli lanac, testirajte novom prijavom i tek onda počistite. Periodi valjanosti i pravila za njihovo ocjenjivanje definisani su u RFC 5280, a datum nije iznenađenje ako je vaš monitoring pratio objekat kojem zaista ističe rok.