Chứng chỉ VPN của bạn hết hạn hôm nay: điều gì thực sự dừng lại

Cảnh báo hết hạn bật lên, đường hầm vẫn đang truyền lưu lượng, và không ai đồng ý liệu ngày tháng có quan trọng không. Có, nhưng không phải lúc nào cũng đúng vào thời điểm in trên chứng chỉ. Một chứng chỉ hết hạn sẽ dừng các xác thực mới, và nó dừng cả những lần xác thực lại mà một số triển khai thực hiện bên trong một phiên dài. Đường hầm hiện có của bạn có chết lúc nửa đêm hay không phụ thuộc vào giao thức, máy khách và cài đặt thương lượng lại của máy chủ. Hãy lên kế hoạch gia hạn trước ngày đó và xác minh bằng một lần đăng nhập mới thay vì bằng phiên đã mở.

Tìm ra chứng chỉ nào thực sự đang hết hạn

Một triển khai chứa chứng chỉ lá của máy chủ, thông tin xác thực máy khách, một hoặc nhiều chứng chỉ trung gian và một neo tin cậy, và chúng không hết hạn cùng nhau. Hãy đọc chứng chỉ được nêu trong lỗi và chuỗi đi kèm, không phải tệp đầu tiên trong thư mục hồ sơ. Một chứng chỉ lá của máy chủ được gia hạn sạch vẫn có thể thất bại nếu chứng chỉ trung gian phía trên đã hết hạn. Ghi lại chủ thể, nhà phát hành, not-after và vị trí triển khai của từng tệp trước khi thay đổi bất cứ điều gì.

Neo tin cậy thường là đối tượng sống lâu nhất và là nguyên nhân ít có khả năng nhất.

Vì sao một phiên đang sống có thể tồn tại lâu hơn ngày hết hạn

Xác thực diễn ra khi thiết lập kết nối, và một số giao thức kiểm tra lại danh tính sau đó. OpenVPN thương lượng lại kênh dữ liệu theo bộ hẹn giờ, nên một lần thương lượng lại trình bày chứng chỉ hết hạn sẽ thất bại dù đường hầm đã chạy nhiều giờ. Những triển khai không bao giờ xác thực lại có thể mang một phiên đã thiết lập vượt qua ngày hết hạn, và đó là lý do «vẫn hoạt động» không phải bằng chứng. Không hành vi nào trong hai hành vi đó có thể lên kế hoạch.

Coi ngày đó là hạn chót cho các lần đăng nhập mới, và thời gian sống của phiên là thời gian vay mượn.

Kiểm tra đồng hồ trước khi đổ lỗi cho chứng chỉ

Tính hợp lệ được đánh giá theo đồng hồ cục bộ, nên một thiết bị sai giờ sẽ báo lỗi hợp lệ cho một chứng chỉ hoàn toàn hiện hành. Kiểm tra máy khách, máy chủ và bất kỳ thiết bị nào trên đường đi.

Một đồng hồ bị đặt lại khi khởi động giải thích những lỗi chỉ xuất hiện sau khi mất điện.

Gia hạn thông qua cơ quan đã cấp chứng chỉ

Giữ nguyên danh tính, mục đích dự kiến và cấu hình khóa tương thích. Nếu việc gia hạn đưa vào một nhà phát hành mới hoặc một chứng chỉ được ghim, máy khách cần một bản cập nhật tin cậy có phối hợp thay vì thay tệp trên máy chủ. Bảo vệ khóa riêng trong quá trình cấp và phân phối, vì một chứng chỉ được gia hạn không thu hồi một khóa cũ đã bị xâm phạm. Đặt lại mật khẩu không phải là gia hạn, phiếu yêu cầu nói gì cũng vậy.

Công bố chuỗi mới đầy đủ, vì một chứng chỉ lá không có trung gian của nó là nửa lần gia hạn chỉ hoạt động trên những máy đã lưu nó trong bộ nhớ đệm.

Chứng minh bằng một lần đăng nhập mới, giữ một đường quay lui

Sau khi triển khai, thiết lập một kết nối được phép mới từ một máy khách đại diện và thử ứng dụng thực tế. Kiểm tra rằng chuỗi được phân phối như máy khách mong đợi và mọi thông tin thu hồi đều truy cập được. Giữ một đường quay lui không phụ thuộc vào việc tin tưởng vật liệu đã hết hạn, để bạn có thể trở về trạng thái trước đó mà không làm yếu việc xác minh. Chỉ xóa các tệp lỗi thời sau khi bản thay thế đã được xác minh.

Các phiên hiện có vẫn có thể phản ánh trạng thái trước đó, nên chúng không chứng minh gì theo hướng nào.

Thứ tự tôi dùng trong ngày

Xác nhận đối tượng đang hết hạn và chuỗi của nó, sau đó xác nhận đồng hồ:

• Chứng chỉ nào hết hạn và thuộc chuỗi nào.
• Mỗi trung gian đã được triển khai và công bố chưa.
• Đồng hồ máy khách và máy chủ khớp nhau trong biên độ hợp lý.
• Một lần đăng nhập mới thành công từ máy khách đại diện.
• Thông tin thu hồi truy cập được.
• Có một đường quay lui không làm yếu việc xác minh.

Sau đó gia hạn, triển khai chuỗi đầy đủ, kiểm thử bằng một lần đăng nhập mới, và chỉ dọn dẹp sau đó. Các khoảng hiệu lực và quy tắc đánh giá chúng được định nghĩa trong RFC 5280, và ngày đó không phải bất ngờ nếu việc giám sát của bạn theo dõi đúng đối tượng thực sự hết hạn.