Новый выданный сертификат нужно ещё развернуть и проверить. Продление и рабочее переключение имеют разные критерии завершения.
PKI и жизненный цикл сертификатов
Ротация сертификата
Определение
Ротация сертификата — управляемый перевод работающих узлов на новый сертификат, а при необходимости и на новую ключевую пару. Новый материал распространяют, включают и проверяют на каждом узле и только потом выводят старый из обслуживания.
Также ищут: Certificate rotation · certificate and key cutover · TLS certificate rollover
Зачем это знать
Переход принимают по инвентарю работающих TLS-терминаторов. Проверка нового рукопожатия на каждом узле помогает найти старый процесс за исправно обновлённым файлом или балансировщиком.
Связи из словаря
Карта понятия
Ротация сертификата
Доказательная часть
Что подтверждено
Ротация управляет переходом криптографического материала: новый материал распространяют, активируют и проверяют до удаления старого.
Граница применимости: Рабочий переход на новые ключи и сертификаты.
Продление получает новый сертификат, ротация переводит на него системы, а отзыв объявляет старый сертификат недействительным до конца срока.
Граница применимости: Три разных действия в жизненном цикле сертификата.
Если из трёх обслуживающих конечных точек две используют новый сертификат, а третья — прежний, переход ещё не завершён. Успех одного запроса через балансировщик не подтверждает обновление всех трёх точек.
Граница применимости: Условный инвентарь из трёх TLS-терминаторов; практический вывод из распространения, активации и проверки материала, без модели продукта.
Для проверки реально предъявляемого сертификата выполняют новое полное сертификатное рукопожатие с нужной конечной точкой и именем сервиса. Файл на диске и возобновлённая сессия PSK не подтверждают, какой сертификат узел предъявит в таком рукопожатии.
Граница применимости: TLS 1.3 и операционная проверка ротации; отдельно сверяют путь, профиль, ожидаемое имя и применимую политику отзыва.
После проверенного переключения старый материал выводят из активного использования по политике ключей. План отката не должен возвращать скомпрометированный закрытый ключ в обслуживание.
Граница применимости: Управление переходом и компрометацией ключей NIST; не требует немедленно уничтожать все архивные копии публичного сертификата.
Граница терминов
Не путать
Ротация меняет обслуживающий материал, отзыв публикует состояние сертификата. Ни запись отзыва, ни план отката не возвращают секретность утёкшему ключу.
Перед спецификацией
Что проверить
- Составьте инвентарь конечных точек.
- Доставьте новый материал безопасным способом.
- Активируйте его на каждом узле.
- Проверьте новое полное сертификатное рукопожатие.
- Сверьте ожидаемое имя и профиль.
- Выведите старый материал из активного использования.
- Проверьте каждый из трёх узлов, если в инвентаре их три.
Открытые основания
Первоисточники
- Recommendation for Key Management: Part 2 — Best Practices for Key Management Organizations
Описывает organizational key-management practices, CA/RA roles, PKI operations и certification path building.
- Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List Profile
Определяет Internet X.509 certificate и CRL profiles, PKI entities, extensions и certification path validation.
Утверждения: 02
- Automatic Certificate Management Environment
Определяет ACME account, order, authorization, challenge, finalize, certificate download и revocation workflow.
Утверждения: 02
- RFC 8446: The Transport Layer Security Protocol Version 1.3
Определяет TLS 1.3, включая encrypted channel, PSK authentication, PSK identity и PSK+(EC)DHE modes.
Утверждения: 04
- Service Identity in TLS
Задаёт construction и verification reference identifiers для TLS services; server identity находится в subjectAltName, не в commonName.
Утверждения: 04