Ваш VPN сертификат истиче данас: шта се заиста зауставља

Упозорење о истеку се активира, тунел још преноси саобраћај и нико се не слаже да ли је датум важан. Јесте, али не увек у тренутку отштампаном на сертификату. Истекао сертификат зауставља нове аутентификације и зауставља поновне провере које неке имплементације обављају унутар дуге сесије. Да ли ће ваш постојећи тунел умрети у поноћ зависи од протокола, клијента и подешавања поновног преговарања на серверу. Планирајте обнову пре датума и проверите је новом пријавом, а не сесијом која је већ била отворена.

Откријте који сертификат заиста истиче

Распоређивање садржи серверски листни сертификат, клијентске акредитиве, један или више посредних сертификата и сидро поверења, и они не истичу заједно. Читајте сертификат наведен у грешци и ланац са којим је представљен, а не прву датотеку у директоријуму профила. Серверски листни сертификат који се чисто обнавља ипак може да не успе ако је посредни изнад њега истекао. Пре него што било шта промените, запишите субјекат, издаваоца, not-after и локацију распоређивања сваке датотеке.

Сидро поверења је обично најдуговечнији објекат и најмање вероватан узрок.

Зашто жива сесија може да надживи датум

Аутентификација се дешава при успостављању везе, а неки протоколи касније поново проверавају идентитет. OpenVPN поново преговара о каналу података по тајмеру, па поновно преговарање које представља истекао сертификат не успева иако је тунел активан сатима. Имплементације које никада не проверавају поново могу да носе успостављену сесију преко датума истека, и зато «још ради» није доказ. Ниједно од та два понашања не може да се планира.

Третирајте датум као крајњи рок за нове пријаве, а животни век сесије као позајмљено време.

Проверите сат пре него што окривите сертификат

Важност се оцењује према локалном сату, па уређај са погрешним временом пријављује неуспех важности за потпуно актуелан сертификат. Проверите клијента, сервер и било који уређај на путу.

Сат који се ресетује при подизању објашњава кварове који се појављују само после прекида струје.

Обновите преко органа који га је издао

Задржите идентитет, предвиђену намену и компатибилну конфигурацију кључа. Ако обнова уводи новог издаваоца или закачени сертификат, клијентима је потребно координисано ажурирање поверења, а не замена датотеке на серверу. Заштитите приватне кључеве током издавања и дистрибуције, јер обновљени сертификат не опозива компромитовани стари кључ. Ресетовање лозинке није обнова, шта год тикет каже.

Објавите нови ланац у целини, јер лист без свог посредног је пола обнове која ради само на машинама које су га већ кеширале.

Докажите то новом пријавом, задржите могућност враћања

После распоређивања, успоставите нову дозвољену везу са репрезентативног клијента и испробајте стварну апликацију. Проверите да ли се ланац доставља како клијенти очекују и да ли су информације о опозиву доступне. Задржите враћање које не зависи од поверења у истекао материјал, да можете да се вратите у претходно стање без слабљења провере. Уклоните застареле датотеке тек пошто замена буде проверена.

Постојеће сесије могу још да одражавају раније стање, па не доказују ништа ни у једном смеру.

Редослед који користим тог дана

Потврдите објекат који истиче и његов ланац, затим потврдите сатове:

• Који сертификат истиче и ком ланцу припада.
• Да ли је сваки посредни распоређен и објављен.
• Сатови клијента и сервера се слажу у разумној граници.
• Нова пријава успева са репрезентативног клијента.
• Информације о опозиву су доступне.
• Постоји враћање које не слаби проверу.

Затим обновите, распоредите цео ланац, тестирајте новом пријавом и тек онда очистите. Периоди важности и правила за њихово оцењивање дефинисани су у RFC 5280, и датум није изненађење ако је ваше праћење гледало објекат који заиста истиче.