Certifikata juaj VPN skadon sot: çfarë ndalon në të vërtetë

Alarmi i skadencës aktivizohet, tuneli ende kalon trafik dhe askush nuk pajtohet nëse data ka rëndësi. Ka, por jo gjithmonë në çastin e shtypur në certifikatë. Një certifikatë e skaduar ndalon vërtetimet e reja dhe ndalon rivërtetimet që disa implementime kryejnë brenda një sesioni të gjatë. Nëse tuneli juaj ekzistues vdes në mesnatë varet nga protokolli, klienti dhe cilësimet e rinegocimit të serverit. Planifikoni rinovimin përpara datës dhe verifikojeni me një hyrje të re, jo me sesionin që ishte tashmë i hapur.

Zbuloni cila certifikatë po skadon në të vërtetë

Një vendosje përmban një certifikatë gjethe serveri, kredencialet e klientit, një ose më shumë certifikata të ndërmjetme dhe një ankorë besimi, dhe ato nuk skadojnë bashkë. Lexoni certifikatën e emërtuar në gabim dhe zinxhirin me të cilin u prezantua, jo skedarin e parë në drejtorinë e profilit. Një gjethe serveri që rinovohet pastër mund të dështojë gjithsesi nëse e ndërmjetmja mbi të ka skaduar. Shkruani subjektin, emetuesin, not-after dhe vendndodhjen e vendosjes së çdo skedari përpara se të ndryshoni diçka.

Ankora e besimit është zakonisht objekti më jetëgjatë dhe shkaku më pak i mundshëm.

Pse një sesion i gjallë mund t’i mbijetojë datës

Vërtetimi ndodh gjatë krijimit të lidhjes, dhe disa protokolle e rikontrollojnë identitetin më vonë. OpenVPN rinegocon kanalin e të dhënave me një kohëmatës, kështu që një rinegocim që paraqet një certifikatë të skaduar dështon edhe pse tuneli është aktiv prej orësh. Implementimet që nuk rivërtetojnë kurrë mund të mbajnë një sesion të vendosur përtej datës së skadencës, dhe për këtë arsye «ende funksionon» nuk është provë. Asnjëra nga dy sjelljet nuk është diçka që mund të planifikohet.

Trajtojeni datën si afatin për hyrjet e reja dhe jetëgjatësinë e sesionit si kohë të huazuar.

Kontrolloni orën përpara se të fajësoni certifikatën

Vlefshmëria vlerësohet kundrejt orës lokale, kështu që një pajisje me orë të gabuar raporton një dështim vlefshmërie për një certifikatë plotësisht aktuale. Kontrolloni klientin, serverin dhe çdo pajisje në rrugë.

Një orë që ristartohet në nisje shpjegon dështimet që shfaqen vetëm pas një ndërprerjeje rryme.

Rinovoni përmes autoritetit që e lëshoi

Ruani identitetin, qëllimin e synuar dhe një konfigurim çelësi të përputhshëm. Nëse rinovimi fut një emetues të ri ose një certifikatë të fiksuar, klientët kanë nevojë për një përditësim të koordinuar besimi, jo për një zëvendësim skedari në server. Mbrojini çelësat privatë gjatë lëshimit dhe shpërndarjes, sepse një certifikatë e rinovuar nuk e revokon një çelës të vjetër të kompromentuar. Rikthimi i fjalëkalimit nuk është rinovim, çfarëdo që thotë tiketa.

Publikoni zinxhirin e ri plotësisht, sepse një gjethe pa të ndërmjetmen e saj është gjysmë rinovimi që funksionon vetëm në makina që e kanë ruajtur tashmë në cache.

Provojeni me një hyrje të re, mbani një kthim pas

Pas vendosjes, krijoni një lidhje të re të lejuar nga një klient përfaqësues dhe provoni aplikacionin e vërtetë. Kontrolloni që zinxhiri dorëzohet siç presin klientët dhe që çdo informacion revokimi është i arritshëm. Mbani një kthim pas që nuk varet nga besimi në material të skaduar, që të mund të ktheheni në gjendjen e mëparshme pa dobësuar verifikimin. Hiqni skedarët e vjetëruar vetëm pasi zëvendësimi të jetë verifikuar.

Sesionet ekzistuese mund të pasqyrojnë ende një gjendje të mëparshme, prandaj nuk provojnë asgjë në asnjë drejtim.

Renditja që përdor ditën

Konfirmoni objektin që skadon dhe zinxhirin e tij, pastaj konfirmoni orët:

• Cila certifikatë skadon dhe cilit zinxhir i përket.
• Nëse çdo e ndërmjetme është vendosur dhe publikuar.
• Orët e klientit dhe serverit përputhen brenda një marzhi të arsyeshëm.
• Një hyrje e re suksesshme nga një klient përfaqësues.
• Informacioni i revokimit është i arritshëm.
• Ekziston një kthim pas që nuk dobëson verifikimin.

Pastaj rinovoni, vendosni zinxhirin e plotë, testoni me një hyrje të re dhe vetëm atëherë pastroni. Periudhat e vlefshmërisë dhe rregullat për vlerësimin e tyre përcaktohen në RFC 5280, dhe data nuk është surprizë nëse monitorimi juaj shikonte objektin që skadon vërtet.