VPN sertifikasını kimliğini değiştirmeden yenilemek

Kimliği değiştiren bir sertifika yenilemesi yenileme değildir, bakım bileti giymiş bir taşınmadır. İstemci bir adı, bir zinciri ve bazen belirli bir anahtarı doğrular ve üçü de son kullanma tarihi değişmeden değişebilir. Yerine koyma istemeden önce istemcinin gerçekte neyi denetlediğini yazın: ana bilgisayar adı veya eş kimliği, sertifikanın amacı, anahtar politikası ve veren zincir. Yenileme, yerine koymanın bunlardan neyi değiştirdiğine bağlı olarak rutin veya koordinelidir.

Üç koşul yenilemenin biçimini belirler

Üç koşul şunlardır: bir şey yaprağı sabitliyor mu, zincir değişiyor mu ve adı başka kim doğruluyor. Bunları CA'nın rahatlığından değil istemci tarafından yanıtlayın, çünkü gece saat üçte başarısız olan istemcidir.

Sahip olduğunuz sertifikayı inceleyerek başlayın. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName özneyi, vereni, geçerlilik penceresini ve sertifikanın gerçekte geçerli olduğu adları yazdırır. Son alan en önemlisidir ve en çok varsayılandır: istemcinin güvendiği bir SAN'ı atlayan bir yenileme isteği teknik olarak geçerli ama işlevsel olarak yanlış bir sertifika üretir. Eski sertifikadaki SAN listesini bellekten yeniden yazmak yerine isteğe kopyalayın.

Birinci koşul: bir şey yaprağı sabitliyor mu

İstemciler bakımı yapılan bir CA'ya güveniyor ve adı doğruluyorsa, yeni anahtarla yaprak yenilemesi onlar için görünmezdir. Herhangi bir istemci yaprak sertifikasını, parmak izini veya ortak anahtarını sabitliyorsa, yerine koyma sert bir geçişle koordineli bir değişikliktir, çünkü eski sabitleme yeni sertifikayı doğrulayamaz.

Bir şey sipariş etmeden önce hangi durumda olduğunuzu öğrenin. Kimsenin belgelemediği bir sabitleme kırıldığında da sabitlemedir.

İkinci koşul: sabitlemeleri ve zinciri karşılaştırın

Parmak izleri sabitlemeyi denetlenebilir kılar: eski ve yeni sertifikada openssl x509 -noout -fingerprint -sha256 -in server.crt ve ortak anahtarları karşılaştırmak için openssl x509 -noout -pubkey. İstemci yapılandırması, bir mobil profil veya bir cihazın güven deposu değerlerden birini içeriyorsa bir sabitlemeniz vardır. Mobil VPN profilleri yaygın bir saklanma yeridir, çünkü profil bir kez dağıtılır ve bir daha asla denetlenmez.

Yerine koyma aynı ara sertifikadan geliyorsa ve istemci onu zaten tutuyorsa veya edinebiliyorsa, güven tarafında hiçbir şey değişmez. Yeni bir ara sertifika, farklı bir veren veya yanlış sırayla teslim edilen bir zincir yenilemeyi bir güven değişikliğine dönüştürür ve hata süresi dolmuş bir sertifika gibi değil, bilinmeyen bir veren gibi görünür.

Sunucunun gerçekte gönderdiği zinciri openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts ile denetleyin ve openssl verify -CAfile ca.pem -untrusted chain.pem server.crt ile yerel olarak doğrulayın. Bunu değişiklikten önce yapmak, sonrasında karşılaştırmak için bir taban çizgisi verir.

Üçüncü koşul: adı başka kim doğruluyor

Bir VPN yoğunlaştırıcısı, bir yük dengeleyici, bir izleme sondası, bir RADIUS veya SAML entegrasyonu ve bir mobil profil, beklenen adın veya güven çapasının kendi kopyasını tutabilir. Yenileme, o kopyaların ayrıştığı andır, çünkü sertifika değişir ve kopyalar değişmez.

Değişiklikten önce her tüketiciyi listeleyin ve her biri için güncelleme gerekip gerekmediğine karar verin. Unuttuğunuz kişi sizi arayan kişidir.

Bir zaman tuzağı da vardır. Son kullanmanın yanı sıra geçerlilik başlangıcını da inceleyin, çünkü sonraki etkinleştirme için hazırlanan bir sertifika çok erken kurulursa reddedilir ve hata hazırlık sorunu gibi değil, saat sorunu gibi görünür. Yeni dosyada openssl x509 -noout -dates dağıtmadan önce iki saniyelik bir denetimdir. Desteklenen bir kurtarma yolunu ve bilinen iyi yapılandırmayı da koruyun, böylece ters giden bir yenileme önceki sertifika ve anahtar geri yüklenerek geri alınabilir.

Dağıtın, yeni bir kimlik doğrulamayla doğrulayın, sonra kullanımdan kaldırın

Kurulmuş bir tünel, oluşturulduğunda gerçekleşen doğrulamayı yansıtır, bu yüzden her yeni bağlantı başarısız olurken sağlıklı görünebilir. İstemcilerin kullandığı gerçek hizmet adını kullanarak yeni bir kimlik doğrulamayla test edin.

Kullanıcının önemsediği uygulama düzeyindeki denetimi tamamlayın ve zincir teslimini sunucunun değil istemcinin bakış açısından onaylayın. Geçişi sessiz tutmak için ad veya sertifika denetimlerini bastırmayın; bu, geçici bir uyumluluk sorununu kalıcı hale getirir.

Artık kullanılmayan malzemeyi yalnızca dağıtım doğrulandıktan sonra kullanımdan kaldırın ve ele geçirilmiş bir anahtarı tamamen farklı bir durum olarak ele alın: yenileme tek başına hiçbir şeyi iptal etmez, bu nedenle etkilenen kimliğin dağıtımın iptal ve oturum yönetimi sürecine ihtiyacı vardır. RFC 5280 tüm bunların altındaki sertifika ve yol doğrulama kurallarını tanımlar. Rutin yaprak yenilemesini bir CA değişiminden ayrı tutun, böylece istemcilerden sebepsiz yere yeni bir verene güvenmeleri istenmez.