¿Qué sucede cuando expira un certificado de CA x509?

Question

¿Qué sucede cuando expira un certificado de CA x509?

#1 de Steffen Ullrich (3 votos)
#2 de tylo (0 votos)

3

Tengo el siguiente problema: usamos TLS con verificación de certificado de cliente para identificar a los clientes en un servicio. Para este fin, hemos creado nuestra propia autoridad de certificados autofirmados, que no hace más que firmar certificados para estos clientes y verificar su validez. Replicamos esta configuración en nuestro entorno de desarrollo.

La CA de desarrollo acaba de caducar, por lo que no se pueden emitir nuevos certificados en nuestro entorno de desarrollo. Nos queda bastante tiempo en la CA de producción, pero me gustaría averiguar si hay un proceso sin problemas para migrar de un certificado de CA caducado a uno nuevo sin vencer los certificados existentes.

La solución ingenua es generar un nuevo certificado CA y reemplazar el antiguo. Sin embargo, creo que esto hará que los clientes existentes no aprueben la validación.

He hecho un poco de googlear y de lectura, y PIENSO que lo que tengo que hacer es ...

Cree un nuevo certificado de CA y úselo para firmar nuevos certificados de clientes
Cree algún tipo de certificado "combinado" que incluya tanto el nuevo certificado de CA como el antiguo certificado de CA y utilícelo para validar clientes (¿puente? ¿cadena?)

El punto 2 es donde no consigo encontrar documentación detallada. Preguntas generales adicionales que tengo:

¿Es posible configurar el certificado "combo" de manera que se pueda utilizar tanto para emitir nuevos certificados como para validar certificados nuevos y antiguos? Al igual que, ¿es posible indicar que "este certificado es realmente 2 certificados, y el nuevo es el que debe usarse para firmar nuevos clientes?" Esto es estrictamente una preocupación práctica: hay menos archivos de los que realizar un seguimiento.
¿Debo evitar simplemente combinar cualquier cosa y usar ambos certificados CA en el grupo de confianza del software de validación? Supongo que esto se remonta a la primera pregunta ...

Perdón por el lenguaje vago, a propósito estoy evitando términos específicos de x509 porque me temo que los usaré incorrectamente y confundiré la pregunta.

tls

pregunta Mikhail P 07.02.2015 - 23:18

fuente

2 respuestas

Lea otras preguntas en las etiquetas tls

Robo document.cookie del dominio de Google, ¿se trata de una violación de la privacidad? He parchado openssl pero QUALYS dice que todavía soy vulnerable a CVE-2014-0224

score 3 · Answer 1

La firma se realiza con la clave privada. La clave pública coincidente para verificar la firma está dentro del certificado. Puede renovar un certificado (cambiar la caducidad) mientras reutiliza el par de claves existente. Por lo tanto, la firma seguirá siendo válida incluso si el certificado se modificó.

Para actualizar la calidad de la clave, cree una nueva clave y cree un nuevo certificado de CA basado en esto. Este nuevo certificado de CA emitirá nuevos certificados, pero el antiguo CA aún se puede utilizar para verificar los certificados existentes y se puede desechar una vez que todos estos certificados anteriores hayan caducado.

score 0 · Answer 2

Una PKI adecuada también debe cubrir aspectos como las actualizaciones de certificados para todos los certificados, incluidos los de las CA y la CA raíz.

Por supuesto, puede usar el certificado anterior para la verificación y usar uno nuevo para firmar y verificar los nuevos. Pero básicamente eso significa que está ejecutando 2 PKI en paralelo, sin conexión, etc.

Como regla general, una CA nunca debe emitir una fecha de vencimiento más allá de la propia, de modo que, en la fecha de vencimiento de la raíz, todos los certificados de clientes emitidos también sean inválidos. Y eso significa que, una vez que se agote el certificado raíz, no debería tener ninguna razón para mantener el certificado anterior en absoluto.

Si desea resolver su problema con el menor impacto posible en los usuarios, debe desarrollar una estrategia de renovación adecuada para los clientes y el certificado raíz de inmediato e implementarlo antes de que se rompa el sistema actual. De hecho, uno de estos sistemas sería tener un período de gracia, donde el certificado anterior aún es válido, pero las renovaciones se realizan con un nuevo certificado.