VPN sertifikatini identifikatsiyasini o'zgartirmasdan yangilash

Identifikatsiyani o'zgartiruvchi sertifikat yangilash yangilash emas, bu texnik xizmat chiptasini kiygan migratsiya. Mijoz nom, zanjir va ba'zan muayyan kalitni tekshiradi, uchchalasi ham amal qilish muddati o'zgarmasdan o'zgarishi mumkin. O'rinbosar so'rashdan oldin mijoz aslida nimani tekshirishini yozib qo'ying: xost nomi yoki hamkor identifikatsiyasi, sertifikat maqsadi, kalit siyosati va chiqaruvchi zanjir. Yangilash o'rinbosar shulardan nimani o'zgartirishiga qarab odatiy yoki muvofiqlashtirilgan bo'ladi.

Uch shart yangilash shaklini belgilaydi

Uch shart: biror narsa bargni pin qiladimi, zanjir o'zgaradimi va nomni yana kim tekshiradi. Ularga CA qulayligidan emas, mijoz tomonidan javob bering, chunki tungi soat uchda muvaffaqiyatsizlikka uchraydigan mijoz.

Sizdagi sertifikatni tekshirishdan boshlang. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName subyekt, chiqaruvchi, amal qilish oynasi va sertifikat aslida amal qiladigan nomlarni chop etadi. Oxirgi maydon eng muhim va eng ko'p taxmin qilinadigan: mijoz tayanadigan SANni tashlab yuboradigan yangilash so'rovi texnik jihatdan amal qiladigan, lekin funksional jihatdan noto'g'ri sertifikat beradi. Eski sertifikatdagi SAN ro'yxatini xotiradan qayta terish o'rniga so'rovga ko'chiring.

Birinchi shart: biror narsa bargni pin qiladimi

Agar mijozlar qo'llab-quvvatlanadigan CAga ishonib, nomni tekshirsa, yangi kalit bilan barg yangilash ular uchun ko'rinmaydi. Agar biror mijoz barg sertifikatini, uning barmoq izini yoki ochiq kalitini pin qilsa, o'rinbosar qattiq o'tish bilan muvofiqlashtirilgan o'zgarish, chunki eski pin yangi sertifikatni tekshira olmaydi.

Biror narsa buyurtma qilishdan oldin qaysi holatda ekaningizni aniqlang. Hech kim hujjatlashtirmagan pin buzilganda ham pin bo'lib qoladi.

Ikkinchi shart: pinlar va zanjirni solishtiring

Barmoq izlari pinni tekshirish mumkin qiladi: eski va yangi sertifikatda openssl x509 -noout -fingerprint -sha256 -in server.crt, va ochiq kalitlarni solishtirish uchun openssl x509 -noout -pubkey. Agar mijoz konfiguratsiyasi, mobil profil yoki qurilmaning ishonch ombori shu qiymatlardan birini o'z ichiga olsa, sizda pin bor. Mobil VPN profillari keng tarqalgan yashirin joy, chunki profil bir marta tarqatiladi va boshqa hech qachon tekshirilmaydi.

Agar o'rinbosar o'sha oraliqdan kelsa va mijozda u allaqachon bo'lsa yoki uni olishi mumkin bo'lsa, ishonch tomonida hech narsa o'zgarmaydi. Yangi oraliq, boshqa chiqaruvchi yoki noto'g'ri tartibda yetkazilgan zanjir yangilashni ishonch o'zgarishiga aylantiradi, va nosozlik muddati o'tgan sertifikat kabi emas, noma'lum chiqaruvchi kabi ko'rinadi.

Server aslida yuboradigan zanjirni openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts bilan tekshiring va uni openssl verify -CAfile ca.pem -untrusted chain.pem server.crt bilan mahalliy tasdiqlang. Buni o'zgarishdan oldin qilish keyin solishtirish uchun tayanch chiziq beradi.

Uchinchi shart: nomni yana kim tekshiradi

VPN konsentratori, yuk balanslagichi, monitoring probi, RADIUS yoki SAML integratsiyasi va mobil profil har biri kutilgan nom yoki ishonch langarining o'z nusxasini saqlashi mumkin. Yangilash o'sha nusxalar ajraladigan lahza, chunki sertifikat o'zgaradi, nusxalar esa o'zgarmaydi.

O'zgarishdan oldin har bir iste'molchini sanab chiqing va har biri yangilanishga muhtojmi-yo'qmi hal qiling. Unutganingiz sizga qo'ng'iroq qiladi.

Vaqt tuzog'i ham bor. Amal qilishning boshlanishini ham, tugashini ham tekshiring, chunki keyinroq faollashtirish uchun tayyorlangan sertifikat juda erta o'rnatilsa rad etiladi, va xato tayyorgarlik muammosi emas, soat muammosi kabi ko'rinadi. Yangi faylda openssl x509 -noout -dates joylashtirishdan oldin ikki soniyalik tekshiruv. Qo'llab-quvvatlanadigan tiklash yo'lini va ma'lum yaxshi konfiguratsiyani ham saqlang, shunda noto'g'ri ketgan yangilash oldingi sertifikat va kalitni tiklash orqali qaytarilishi mumkin.

Joylashtiring, yangi autentifikatsiya bilan tasdiqlang, so'ng chiqarib oling

O'rnatilgan tunnel qurilgan paytda bo'lgan tekshiruvni aks ettiradi, shuning uchun har bir yangi ulanish muvaffaqiyatsiz bo'lganda ham u sog'lom ko'rinishi mumkin. Mijozlar ishlatadigan haqiqiy xizmat nomi bilan yangi autentifikatsiya orqali sinab ko'ring.

Foydalanuvchi uchun muhim bo'lgan ilova darajasidagi tekshiruvni yakunlang va zanjir yetkazilishini server tomondan emas, mijoz nuqtai nazaridan tasdiqlang. O'tishni jim saqlash uchun nom yoki sertifikat tekshiruvlarini bostirmang; bu vaqtinchalik moslik muammosini doimiyga aylantiradi.

Eskirgan materialni faqat joylashtirish tasdiqlangandan keyin chiqarib tashlang, va buzilgan kalitni butunlay boshqa holat deb qarang: yangilashning o'zi hech narsani bekor qilmaydi, shuning uchun zararlangan identifikatsiyaga joylashtirishning bekor qilish va sessiyalarni boshqarish jarayoni kerak. RFC 5280 bularning barchasi ostidagi sertifikat va yo'l tekshiruvi qoidalarini belgilaydi. Odatiy barg yangilashni CA almashtirishdan alohida saqlang, shunda mijozlardan sababsiz yangi chiqaruvchiga ishonish talab qilinmaydi.