Serveris veikia, bet klientai neprisijungia. Ar nepamiršote TLS sertifikato?

Kodėl serverio pasiekiamumo neužtenka?

Įsivaizduokime klientų portalą: serveris atsako į tinklo patikras, tačiau naršyklė praneša apie negaliojantį sertifikatą, o integracija nebegali saugiai prisijungti. Tai iliustracinis scenarijus, ne konkretaus INsec kliento incidentas.

INsec siūlo stebėti paslaugą iš naudotojo perspektyvos. Svarbu ne tik ar įrenginys pasiekiamas, bet ir ar pasirinktu vardu galima užmegzti tinkamą TLS ryšį bei atlikti numatytą užklausą. Sertifikato galiojimo data yra vienas iš šios patikros rodiklių.

Reikia atskirti ir gedimo rūšis. Pasibaigęs galiojimas, netinkamas vardas ar pasitikėjimo grandinės problema nėra tas pats. Incidento metu pirmiausia nustatoma konkreti klaida, o ne aklai paleidžiama sertifikato išdavimo komanda.

Automatinis atnaujinimas turi priklausomybių

„Let’s Encrypt“ dokumentacijoje paaiškinama, kad prieš išduodant sertifikatą patikrinama domeno kontrolė. HTTP-01 būdu tikrinamas specialus išteklius žiniatinklio serveryje per 80 prievadą, o DNS-01 būdu – nustatytas TXT įrašas DNS sistemoje. Pastarąjį būdą automatizuojant svarbi DNS paslaugos API prieiga ir įrašo pasklidimas. Oficialus patikros būdų aprašymas.

INsec rekomenduoja sertifikatų atnaujinimą įtraukti į pakeitimų patikras. Pakeitus DNS tiekėją, ugniasienės taisykles, atvirkštinį tarpinį serverį ar svetainės talpinimą reikia įsitikinti, kad anksčiau naudotas patvirtinimo būdas vis dar veikia.

DNS automatizavimo prieigas taip pat būtina valdyti. „Let’s Encrypt“ rekomenduoja ribotos apimties API prisijungimo duomenis arba atskirą patvirtinimo aplinką, nes plačios DNS teisės žiniatinklio serveryje didina galimo įsilaužimo poveikį. DNS-01 saugumo paaiškinimas.

Išduotas sertifikatas dar turi pasiekti paslaugą

INsec siūlomas kontrolinis sąrašas apima tris atskirus rezultatus: sertifikatas gautas, įdiegtas ten, kur reikia, ir realiai pateikiamas klientui. Jei infrastruktūroje yra keli mazgai ar tarpinės sistemos, kiekviena reikšminga ryšio atkarpa turi būti įvertinta atskirai.

Pavyzdžiui, administratoriaus matomas naujas failas serveryje nėra pakankamas įrodymas, kad viešasis portalas jau naudoja naują sertifikatą. Po diegimo reikia patikrinti faktinį paslaugos atsakymą. Konkreti įkėlimo ar konfigūracijos pritaikymo procedūra priklauso nuo naudojamo produkto.

Ką verta įtraukti į stebėseną?

„Let’s Encrypt“ nurodo sertifikatų stebėsenos naudą galiojimo perspėjimams ir nepageidaujamam išdavimui pastebėti. Sertifikatų stebėsenos galimybės. INsec praktinėje paslaugos priežiūroje siūlo tikrinti:

• Galutinį adresą. Domeno vardą, paslaugos prievadą ir sertifikatą, kurį gauna klientas.
• Galiojimo rezervą. Likusį laiką ir tai, ar po atnaujinimo jis pasikeitė.
• Atnaujinimo užduotį. Kada ji paskutinį kartą vykdyta, ar pavyko ir kur saugoma klaidos informacija.
• Paslaugos veikimą. Ar veikia sutarta užklausa, o ne tik atviras prievadas.
• Perspėjimo pristatymą. Kas jį gauna ir kas pavaduoja atsakingą žmogų.

Perspėjimų ribas reikia derinti prie sertifikato gyvavimo ciklo ir laiko, kurio komandai reikia problemai išspręsti. Viena fiksuota riba nebūtinai tiks visoms paslaugoms. Svarbu pastebėti ir pasikartojančias atnaujinimo klaidas dar prieš artėjant galiojimo pabaigai.

Jei paslauga jau sutriko

Siūlome užfiksuoti tikslų adresą, klaidos tekstą, laiką ir paveiktų naudotojų apimtį. IT komanda patikrina paslaugos pateikiamą sertifikatą, atnaujinimo žurnalus ir nesenus infrastruktūros pakeitimus. Tuomet taisoma nustatyta priežastis ir pakartojama faktinio prisijungimo patikra.

Nereikėtų problemos spręsti liepiant klientams ignoruoti sertifikato perspėjimą ar išjungiant jo tikrinimą integracijoje. Toks veiksmas nepašalina priežasties ir silpnina ryšio patikimumo kontrolę. Darbo atkūrimas turi baigtis tinkamai veikiančiu saugiu prisijungimu.

Mažas inventorius padeda išvengti didelės prastovos

INsec rekomenduoja turėti sertifikatus naudojančių paslaugų sąrašą: jų adresus, savininkus, išdavimo būdą, atnaujinimo mechanizmą ir perspėjimų gavėjus. Perimant serverių priežiūrą šis sąrašas ypač naudingas, nes automatika gali priklausyti nuo ankstesnio tiekėjo paskyrų ar prieigų.

Periodiškai verta patikrinti ne tik nustatymus, bet ir visą procesą: ar atnaujinimo klaida būtų pastebėta, ar atsakingas žmogus turi reikiamą prieigą ir ar po taisymo patikrinama naudotojui prieinama paslauga.