Обнављање VPN сертификата без промене његовог идентитета

Обнављање сертификата које мења идентитет није обнављање, то је миграција обучена у тикет за одржавање. Клијент проверава име, ланац и понекад одређени кључ, и сва три могу да се промене без промене датума истека. Пре него што затражите замену, запишите шта клијент заиста проверава: име домаћина или идентитет партнера, намену сертификата, политику кључева и ланац издаваоца. Обнављање је рутинско или координисано у зависности од тога шта од тога замена мења.

Три услова одређују облик обнављања

Три услова су: да ли нешто фиксира лист, да ли се ланац мења и ко још проверава име. Одговорите на њих са стране клијента, а не из удобности CA, јер клијент је оно што отказује у три сата ујутру.

Почните прегледом сертификата који имате. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName исписује субјекат, издаваоца, период важења и имена за која је сертификат заиста важећи. То последње поље је најважније и најчешће се претпоставља: захтев за обнављање који изостави SAN на који се клијент ослања даје сертификат који је технички важећи, али функционално погрешан. Копирајте листу SAN из старог сертификата у захтев уместо да је поново куцате по сећању.

Први услов: да ли нешто фиксира лист

Ако клијенти верују одржаваном CA и проверавају име, обнављање листа са новим кључем је за њих невидљиво. Ако било који клијент фиксира сертификат листа, његов отисак или његов јавни кључ, замена је координисана промена са тврдим прелазом, јер старо фиксирање не може да валидира нови сертификат.

Откријте у ком сте случају пре него што било шта наручите. Фиксирање које нико није документовао и даље је фиксирање када се сломи.

Други услов: упоредите фиксирања и ланац

Отисци чине фиксирање проверљивим: openssl x509 -noout -fingerprint -sha256 -in server.crt на старом и новом сертификату, и openssl x509 -noout -pubkey за поређење јавних кључева. Ако конфигурација клијента, мобилни профил или складиште поверења уређаја садржи било коју од тих вредности, имате фиксирање. Мобилни VPN профили су често скровиште, јер се профил дистрибуира једном и више се никада не прегледа.

Ако замена долази од истог посредника и клијент га већ има или може да га добије, ништа се не мења на страни поверења. Нови посредник, други издавалац или ланац достављен у погрешном редоследу претварају обнављање у промену поверења, а квар изгледа као непознат издавалац, а не као истекао сертификат.

Проверите ланац који сервер заиста шаље са openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts, и валидирајте га локално са openssl verify -CAfile ca.pem -untrusted chain.pem server.crt. Да то урадите пре промене даје вам основну линију за поређење после.

Трећи услов: ко још проверава име

VPN концентратор, балансер оптерећења, сонда за надзор, RADIUS или SAML интеграција и мобилни профил могу сваки да држе своју копију очекиваног имена или сидра поверења. Обнављање је тренутак када се те копије разилазе, јер се сертификат мења, а копије не.

Наведите сваког потрошача пре промене и одлучите за сваког да ли му треба ажурирање. Онај који заборавите је онај који ће вас позвати.

Постоји и временска замка. Проверите почетак важења као и истек, јер се сертификат припремљен за каснију активацију одбија ако се инсталира прерано, а грешка изгледа као проблем са сатом, а не као проблем са припремом. openssl x509 -noout -dates на новој датотеци пре распоређивања је провера од две секунде. Одржавајте и подржани пут опоравка и познату добру конфигурацију, тако да се неуспешно обнављање може поништити враћањем претходног сертификата и кључа.

Распоредите, потврдите свежом автентикацијом, затим повуците

Успостављени тунел одражава валидацију која се догодила када је изграђен, па може да изгледа здраво док свака нова веза не успе. Тестирајте свежом автентикацијом користећи стварно име услуге које клијенти користе.

Завршите проверу на нивоу апликације која је кориснику важна и потврдите испоруку ланца из перспективе клијента, а не сервера. Не потискујте провере имена или сертификата да би прелаз био тих; то привремени проблем компатибилности претвара у трајни.

Повуците застарели материјал само након што је распоређивање потврђено, а компромитовани кључ третирајте као потпуно други случај: само обнављање ништа не опозива, па је погођеном идентитету потребан процес опозива и управљања сесијама тог распоређивања. RFC 5280 дефинише правила сертификата и валидације путање на којима све ово почива. Држите рутинско обнављање листа одвојено од замене CA, да се од клијената не би тражило да без разлога верују новом издаваоцу.