ใบรับรอง VPN ของคุณหมดอายุวันนี้: อะไรหยุดจริง

การแจ้งเตือนหมดอายุทำงาน อุโมงค์ยังส่งผ่านทราฟฟิก และไม่มีใครเห็นพ้องว่าวันที่มีความสำคัญหรือไม่ สำคัญ แต่ไม่เสมอไปในขณะที่พิมพ์อยู่บนใบรับรอง ใบรับรองที่หมดอายุหยุดการพิสูจน์ตัวตนใหม่ และหยุดการตรวจสอบซ้ำที่บางการใช้งานทำภายในเซสชันที่ยาวนาน อุโมงค์เดิมของคุณจะตายตอนเที่ยงคืนหรือไม่ขึ้นอยู่กับโปรโตคอล ไคลเอนต์ และการตั้งค่าการเจรจาใหม่ของเซิร์ฟเวอร์ วางแผนการต่ออายุก่อนวันนั้นและตรวจสอบด้วยการเข้าสู่ระบบใหม่ ไม่ใช่เซสชันที่เปิดอยู่แล้ว

ค้นหาว่าใบรับรองใดกำลังหมดอายุจริง

การติดตั้งหนึ่งครั้งมีใบรับรองใบเซิร์ฟเวอร์ ข้อมูลรับรองไคลเอนต์ ใบรับรองกลางหนึ่งใบหรือมากกว่า และสมอความเชื่อถือ และสิ่งเหล่านี้ไม่ได้หมดอายุพร้อมกัน อ่านใบรับรองที่ระบุในข้อผิดพลาดและห่วงโซ่ที่นำเสนอ ไม่ใช่ไฟล์แรกในไดเรกทอรีโปรไฟล์ ใบรับรองใบเซิร์ฟเวอร์ที่ต่ออายุได้สะอาดก็ยังล้มเหลวได้หากใบรับรองกลางเหนือขึ้นไปหมดอายุ จดบันทึกหัวข้อ ผู้ออก not-after และตำแหน่งการติดตั้งของแต่ละไฟล์ก่อนเปลี่ยนแปลงสิ่งใด

สมอความเชื่อถือมักเป็นวัตถุที่อายุยืนที่สุดและเป็นสาเหตุที่เป็นไปได้น้อยที่สุด

ทำไมเซสชันที่ทำงานอยู่จึงอยู่ได้นานกว่าวันที่

การพิสูจน์ตัวตนเกิดขึ้นเมื่อสร้างการเชื่อมต่อ และบางโปรโตคอลตรวจสอบตัวตนอีกครั้งในภายหลัง OpenVPN เจรจาช่องข้อมูลใหม่ตามตัวจับเวลา การเจรจาใหม่ที่นำเสนอใบรับรองที่หมดอายุจึงล้มเหลวแม้อุโมงค์จะทำงานมาหลายชั่วโมง การใช้งานที่ไม่เคยตรวจสอบซ้ำสามารถพาเซสชันที่สร้างขึ้นเลยวันหมดอายุไปได้ นั่นคือเหตุผลที่ «ยังใช้งานได้» ไม่ใช่หลักฐาน ทั้งสองพฤติกรรมไม่ใช่สิ่งที่วางแผนได้

ถือว่าวันที่เป็นกำหนดสุดท้ายสำหรับการเข้าสู่ระบบใหม่ และอายุเซสชันเป็นเวลาที่ยืมมา

ตรวจสอบนาฬิกาก่อนตำหนิใบรับรอง

ความถูกต้องถูกประเมินเทียบกับนาฬิกาท้องถิ่น อุปกรณ์ที่เวลาผิดจึงรายงานความล้มเหลวด้านความถูกต้องสำหรับใบรับรองที่ทันสมัยสมบูรณ์ ตรวจสอบไคลเอนต์ เซิร์ฟเวอร์ และอุปกรณ์ใดก็ตามในเส้นทาง

นาฬิกาที่รีเซ็ตเมื่อบูตอธิบายความล้มเหลวที่ปรากฏเฉพาะหลังไฟดับ

ต่ออายุผ่านหน่วยงานที่ออกใบรับรอง

รักษาตัวตน วัตถุประสงค์ที่ตั้งใจ และการกำหนดค่าคีย์ที่เข้ากันได้ หากการต่ออายุแนะนำผู้ออกใหม่หรือใบรับรองที่ปักหมุด ไคลเอนต์ต้องได้รับการอัปเดตความเชื่อถือที่ประสานกัน ไม่ใช่การสลับไฟล์บนเซิร์ฟเวอร์ ปกป้องคีย์ส่วนตัวระหว่างการออกและการกระจาย เพราะใบรับรองที่ต่ออายุแล้วไม่ได้เพิกถอนคีย์เก่าที่ถูกบุกรุก การรีเซ็ตรหัสผ่านไม่ใช่การต่ออายุ ไม่ว่าตั๋วจะบอกอะไร

เผยแพร่ห่วงโซ่ใหม่อย่างสมบูรณ์ เพราะใบที่ไม่มีการรับรองกลางคือการต่ออายุครึ่งเดียวที่ทำงานเฉพาะบนเครื่องที่แคชไว้แล้ว

พิสูจน์ด้วยการเข้าสู่ระบบใหม่ เก็บเส้นทางย้อนกลับ

หลังการติดตั้ง สร้างการเชื่อมต่อที่ได้รับอนุญาตใหม่จากไคลเอนต์ตัวแทนและทดลองแอปพลิเคชันจริง ตรวจสอบว่าห่วงโซ่ถูกส่งตามที่ไคลเอนต์คาดหวังและข้อมูลการเพิกถอนใด ๆ เข้าถึงได้ เก็บเส้นทางย้อนกลับที่ไม่ขึ้นกับการไว้วางใจวัสดุที่หมดอายุ เพื่อให้กลับสู่สถานะก่อนหน้าได้โดยไม่ทำให้การตรวจสอบอ่อนแอลง ลบไฟล์ที่ล้าสมัยหลังการแทนที่ได้รับการตรวจสอบแล้วเท่านั้น

เซสชันที่มีอยู่อาจยังสะท้อนสถานะก่อนหน้า จึงไม่พิสูจน์สิ่งใดในทิศทางใด

ลำดับที่ฉันใช้ในวันนั้น

ยืนยันวัตถุที่กำลังหมดอายุและห่วงโซ่ของมัน แล้วยืนยันนาฬิกา:

• ใบรับรองใดหมดอายุ และอยู่ในห่วงโซ่ใด
• ใบรับรองกลางทุกใบติดตั้งและเผยแพร่แล้วหรือไม่
• นาฬิกาของไคลเอนต์และเซิร์ฟเวอร์ตรงกันภายในขอบเขตที่สมเหตุสมผล
• การเข้าสู่ระบบใหม่สำเร็จจากไคลเอนต์ตัวแทน
• ข้อมูลการเพิกถอนเข้าถึงได้
• มีเส้นทางย้อนกลับที่ไม่ทำให้การตรวจสอบอ่อนแอลง

จากนั้นต่ออายุ ติดตั้งห่วงโซ่ทั้งหมด ทดสอบด้วยการเข้าสู่ระบบใหม่ และทำความสะอาดหลังจากนั้นเท่านั้น ระยะเวลาความถูกต้องและกฎในการประเมินถูกกำหนดใน RFC 5280 และวันที่จะไม่เป็นเรื่องน่าประหลาดใจหากการตรวจสอบของคุณเฝ้าดูวัตถุที่หมดอายุจริง