Obnova certifikátu VPN bez zmeny jeho identity

Obnova certifikátu, ktorá mení identitu, nie je obnova, je to migrácia oblečená v lístku na údržbu. Klient overuje názov, reťaz a niekedy konkrétny kľúč, a všetky tri sa môžu zmeniť bez zmeny dátumu vypršania. Pred žiadosťou o náhradu zapíšte, čo klient skutočne kontroluje: názov hostiteľa alebo identitu partnera, účel certifikátu, pravidlá kľúčov a vydávajúcu reťaz. Obnova je rutinná alebo koordinovaná podľa toho, čo z toho náhrada mení.

Tri podmienky rozhodujú o podobe obnovy

Tri podmienky sú: či niečo pripína list, či sa mení reťaz a kto ešte overuje názov. Odpovedzte na ne zo strany klienta, nie z pohodlia CA, pretože klient je to, čo zlyhá o tretej ráno.

Začnite kontrolou certifikátu, ktorý máte. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName vypíše subjekt, vydavateľa, okno platnosti a názvy, pre ktoré je certifikát skutočne platný. Posledné pole je najdôležitejšie a najčastejšie sa predpokladá: žiadosť o obnovu, ktorá vynechá SAN, na ktorý sa klient spolieha, vytvorí certifikát technicky platný, ale funkčne nesprávny. Skopírujte zoznam SAN zo starého certifikátu do žiadosti namiesto toho, aby ste ho znovu písali z pamäti.

Prvá podmienka: či niečo pripína list

Ak klienti dôverujú udržiavanému CA a overujú názov, obnova listu s novým kľúčom je pre nich neviditeľná. Ak ktorýkoľvek klient pripína certifikát listu, jeho odtlačok alebo jeho verejný kľúč, náhrada je koordinovaná zmena s tvrdým prechodom, pretože staré pripnutie nemôže overiť nový certifikát.

Zistite, v ktorom prípade ste, skôr ako niečo objednáte. Pripnutie, ktoré nikto nezadokumentoval, je stále pripnutie, keď sa zlomí.

Druhá podmienka: porovnajte pripnutia a reťaz

Odtlačky robia pripnutie overiteľným: openssl x509 -noout -fingerprint -sha256 -in server.crt na starom aj novom certifikáte a openssl x509 -noout -pubkey na porovnanie verejných kľúčov. Ak konfigurácia klienta, mobilný profil alebo úložisko dôvery zariadenia obsahuje ktorúkoľvek z hodnôt, máte pripnutie. Mobilné profily VPN sú častým úkrytom, pretože profil sa distribuuje raz a už sa nikdy neprehliada.

Ak náhrada pochádza z toho istého medzičlánku a klient ho už má alebo si ho môže obstarať, na strane dôvery sa nič nemení. Nový medzičlánok, iný vydavateľ alebo reťaz doručená v nesprávnom poradí premenia obnovu na zmenu dôvery a zlyhanie vyzerá ako neznámy vydavateľ, nie ako vypršaný certifikát.

Skontrolujte reťaz, ktorú server skutočne odosiela, pomocou openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts a overte ju lokálne pomocou openssl verify -CAfile ca.pem -untrusted chain.pem server.crt. Ak to urobíte pred zmenou, získate základnú líniu na neskoršie porovnanie.

Tretia podmienka: kto ešte overuje názov

Koncentrátor VPN, vyrovnávač zaťaženia, monitorovacia sonda, integrácia RADIUS alebo SAML a mobilný profil môžu každý uchovávať vlastnú kópiu očakávaného názvu alebo kotvy dôvery. Obnova je moment, keď sa tie kópie rozchádzajú, pretože certifikát sa mení a kópie nie.

Pred zmenou vypíšte každého spotrebiteľa a pre každého rozhodnite, či potrebuje aktualizáciu. Ten, na ktorý zabudnete, je ten, ktorý vám zavolá.

Existuje aj časová pasca. Skontrolujte začiatok platnosti aj vypršanie, pretože certifikát pripravený na neskoršiu aktiváciu sa odmietne, ak sa nainštaluje príliš skoro, a chyba vyzerá ako problém s hodinami, nie ako problém s prípravou. openssl x509 -noout -dates na novom súbore pred nasadením je dvojsekundová kontrola. Zachovajte aj podporovanú cestu obnovy a známu dobrú konfiguráciu, aby sa neúspešná obnova dala vrátiť obnovením predchádzajúceho certifikátu a kľúča.

Nasaďte, overte novou autentifikáciou a potom vyraďte

Zavedený tunel odráža overenie, ktoré sa udialo pri jeho budovaní, takže môže vyzerať zdravo, kým každé nové pripojenie zlyháva. Otestujte novou autentifikáciou s použitím skutočného názvu služby, ktorý klienti používajú.

Dokončite kontrolu na úrovni aplikácie, na ktorej používateľovi záleží, a potvrďte doručenie reťaze z pohľadu klienta, nie servera. Nepotláčajte kontroly názvu ani certifikátu, aby bol prechod tichý; to premení dočasný problém s kompatibilitou na trvalý.

Vyraďte zastaraný materiál až po overení nasadenia a kompromitovaný kľúč berte ako úplne iný prípad: samotná obnova nič neodvolá, takže postihnutá identita potrebuje proces odvolania a správy relácií daného nasadenia. RFC 5280 definuje pravidlá certifikátov a overovania cesty, na ktorých to všetko stojí. Držte rutinnú obnovu listu oddelene od výmeny CA, aby sa od klientov nežiadalo dôverovať novému vydavateľovi bez dôvodu.