Supongamos, por un instante, que realmente necesita "cambiar la clave de sus servidores web" debido al error del corazón (si existe tal necesidad, entonces lógicamente también debe hacerlo para cualquier otra vulnerabilidad similar que aparece, por lo tanto, varias veces al año, y también debe hacerlo para las vulnerabilidades que se mostrarán , por lo que, según ese razonamiento, su nueva clave también se brindará de inmediato. Supongamos también que volver a teclear es suficiente (nuevamente, hay una falacia: si un atacante podría obtener su clave privada, entonces también podría obtener todos sus datos confidenciales, por lo que el problema tiene un alcance mucho mayor).
Bajo estas suposiciones, el modelo es el de un compromiso de sus claves privadas (eso es lo que teme). Debes hacer dos cosas:
-
Declare el certificado antiguo como no válido, para que los clientes dejen de confiar en él. Esto se conoce como revocación.
-
Obtenga un nuevo certificado con una nueva clave que el atacante no conoce.
No hay necesidad conceptual de hacer las cosas en ese orden. De hecho, por lo general, desea que el nuevo certificado esté activo y en ejecución antes , se revoque el anterior. Sucede que algunos CA insisten en vincular las dos operaciones, es decir, revocar el certificado anterior y volver a emitir el nuevo al mismo tiempo (una razón para hacerlo es comercial: usted pagó por uno certificado, por lo que debería obtener uno certificado no revocado en cualquier momento).
Afortunadamente, algunas características te ayudarán:
-
Los clientes no almacenan certificados. En el protocolo SSL / TLS , el servidor envía sistemáticamente su certificado actual, y el cliente siempre utilizará ese, no un versión en caché.
-
La revocación es asíncrona: cuando se revoca un certificado, su número de serie se incluirá en la Lista de revocación de certificados que publica regularmente la CA. Por lo general, tomará algunas horas antes de que la revocación sea efectiva (depende de la política de CA). Además, los clientes hacen almacenan en caché la CRL, por lo que incluso si la CA publica inmediatamente una nueva CRL, los clientes que se conectaron hace unas horas seguirán funcionando con la anterior, hasta que caduque. (Sin embargo, OCSP puede reducir la ventana de tiempo).
-
Muchos clientes no se molestan en comprobar la CRL de todos modos, por lo que, desde su punto de vista, el certificado anterior nunca será revocado.
Todavía le conviene completar el procedimiento rápidamente, es decir, en unos pocos minutos. De todos modos, DEBES poder realizar ese proceso correctamente, ya que los certificados caducan: simplemente lo estás haciendo temprano (por un sentimiento de deferencia hacia la actual ola de paranoia mal informada).