Importare CRL e revocare certificati su Sophos Firewall

Una Certificate Revocation List (CRL) esterna si importa in Certificates > Certificate revocation lists > Add. Il file deve provenire dalla CA che ha emesso il certificato interessato. Prima del caricamento occorre verificare issuer, firma, thisUpdate, nextUpdate e numeri di serie revocati. In seguito, una voce visibile nell’elenco non è una prova sufficiente: il servizio concreto deve essere testato con un certificato valido e, in un ambiente controllato, con un certificato revocato.

La procedura è diversa per i certificati firmati localmente. SFOS può revocarli autonomamente e aggiunge automaticamente i dettagli alla CRL locale. Un certificato firmato esternamente, invece, deve essere revocato dalla CA esterna; il firewall non può creare autonomamente tale revoca.

Importare una CRL in otto passaggi

1. Documentare il certificato interessato, l’issuer, il numero di serie e il servizio firewall che lo utilizza.
2. Preparare un backup, un accesso di gestione indipendente e un certificato sostitutivo valido.
3. Ottenere una CRL completa e aggiornata dalla CA emittente. Non usare la CRL di un’altra CA con un nome simile.
4. Su un computer amministrativo, leggere il file come DER o PEM e controllare issuer, firma, thisUpdate e nextUpdate.
5. Verificare che la catena CA associata sia presente in Certificates > Certificate authorities.
6. In Certificates > Certificate revocation lists > Add, inserire un nome chiaro, selezionare il file CRL e fare clic su Save.
7. Eseguire un normale test positivo con un certificato ancora valido e un test negativo controllato con un certificato di prova revocato.
8. Documentare owner, fonte e data di rinnovo precedente a nextUpdate.

⚠️ Non revocare un certificato assegnato alla produzione o la Default CA solo per testare la funzione. WebAdmin, portali, VPN o altri servizi di gestione e tunnel potrebbero smettere di funzionare. La revoca viene prima testata con un certificato emesso appositamente e con un percorso di ripristino confermato.

Distinguere scadenza e revoca

Un certificato può essere valido ancora per mesi e non essere più affidabile. Può accadere, ad esempio, se la chiave privata è stata compromessa, il titolare ha perso l’autorizzazione o il certificato non deve più essere utilizzato per lo scopo originale. La CA revoca quindi il numero di serie e pubblica questo stato in una CRL.

Una CRL contiene, tra le altre cose:

• l’Issuer, cioè l’entità che ha firmato la CRL;
• thisUpdate, il momento di emissione dell’elenco;
• nextUpdate, il termine entro cui la CA annuncia un nuovo elenco;
• il numero di serie e il momento della revoca dei certificati revocati;
• una firma digitale per verificarne origine e integrità.

Il solo nome del file non ha valore di fiducia. Un file chiamato vpn-current.crl può essere obsoleto o appartenere a un’altra CA emittente. Sono decisivi issuer, firma, attualità e numero di serie del certificato concreto.

Firma locale o esterna

SFOS separa due responsabilità:

• Certificato firmato localmente: Il firewall ha firmato il certificato con la propria CA interna. Può essere revocato in Certificates > Certificates. SFOS aggiunge automaticamente la revoca alla CRL locale corrispondente.
• Certificato firmato esternamente: Una CA aziendale o pubblica esterna ha emesso il certificato. Solo tale CA può pubblicare la revoca. La CRL corrente viene poi caricata sul firewall come file.

Una CRL fornita esternamente non sostituisce la catena CA associata. Certificato, CA emittente, eventuali CA intermedie e CRL devono corrispondere. Importare e assegnare certificati su Sophos Firewall spiega come distinguere certificati, chiavi private, CSR e catene CA.

Preparare il file CRL in sicurezza

Prima di una modifica si registra lo stato attuale:

• nome, issuer e numero di serie del certificato interessato;
• issuer della CRL e fonte attendibile;
• valori attuali di thisUpdate e nextUpdate;
• servizio interessato e relativo test positivo funzionante;
• owner PKI responsabile;
• backup e percorso di ripristino qualora la convalida del certificato blocchi l’accesso di produzione.

L’ora del firewall deve essere corretta. Una data errata può far apparire certificati e liste di revoca obsoleti o non ancora validi. Se necessario, si verificano la fonte oraria e la configurazione NTP con Configurare l’ora di sistema e NTP su Sophos Firewall.

Associare certificato e CRL

Su un computer amministrativo, OpenSSL mostra issuer e numero di serie di un certificato PEM:

openssl x509 -in client-cert.pem -issuer -serial -noout

client-cert.pem viene sostituito con il file del certificato locale. Il comando legge solo metadati e non mostra alcuna chiave privata.

Una CRL codificata DER si controlla così:

openssl crl -in corp-issuing-ca.crl -inform DER -issuer -lastupdate -nextupdate -crlnumber -noout

Per una CRL codificata PEM, sostituire DER con PEM. corp-issuing-ca.crl è un nome di esempio e va sostituito con il file della propria CA emittente. L’Issuer visualizzato deve corrispondere alla catena di certificati prevista e nextUpdate non deve essere già trascorso per il periodo operativo pianificato.

Verificare la firma e i numeri di serie revocati

La firma viene verificata rispetto a un file CA preparato:

openssl crl -in corp-issuing-ca.crl -inform DER -CAfile corp-ca-chain.pem -verify -noout

corp-ca-chain.pem contiene il certificato del firmatario della CRL e la catena CA necessaria per verificarlo. Il file viene fornito dal responsabile PKI e non assemblato da una fonte di download qualsiasi. Se la CA fornisce una CRL PEM, anche qui si sostituisce DER con PEM.

Per visualizzare tutti i dettagli della CRL, compresi i numeri di serie revocati, usare:

openssl crl -in corp-issuing-ca.crl -inform DER -text -noout

Per CA aziendali di grandi dimensioni l’output può essere lungo. Non contiene chiavi private, ma include metadati PKI interni e numeri di serie. Non va quindi copiato senza filtri in ticket pubblici, chat o screenshot.

Importare una CRL esterna in SFOS

Una CRL esterna viene acquisita solo dalla CA responsabile o dal relativo processo PKI attendibile. Un file proveniente da un vecchio ticket o da una condivisione non documentata non è una fonte affidabile.

1. Aprire Certificates > Certificate revocation lists.
2. Selezionare Add.
3. Inserire un nome chiaro, ad esempio Corp-Issuing-CA-CRL.
4. Selezionare il file .crl verificato in precedenza.
5. Fare clic su Save.
6. Verificare che la nuova voce compaia nell’elenco CRL.
7. Eseguire i test positivo e negativo pianificati per il servizio interessato.
8. Registrare nextUpdate, owner e fonte nella documentazione operativa.

Corp-Issuing-CA-CRL è solo un nome di esempio. Va sostituito con una denominazione che identifichi la CA emittente reale e lo scopo. Nomi come Current o New CRL vanno evitati perché dopo alcuni mesi non consentono più di riconoscere un responsabile chiaro.

La guida attuale di SFOS 22 non documenta in questa pagina il recupero automatico da un URL HTTP o LDAP. Un singolo caricamento non è quindi un processo operativo permanente. Prima di nextUpdate si ottiene un nuovo elenco dalla CA, lo si verifica nuovamente e lo si aggiorna su SFOS tramite il processo CRL approvato. L’elenco precedente non viene rimosso prima che il nuovo file sia stato accettato e il servizio interessato sia stato nuovamente testato.

Revocare un certificato firmato localmente

Un certificato firmato localmente viene revocato direttamente sul firewall. Prima occorre chiarire se protegge ancora WebAdmin, un portale, VPN, WAF, SMTP o un altro servizio. In tal caso, si assegna e si testa prima un certificato sostitutivo valido.

1. In Certificates > Certificates, identificare il certificato firmato localmente.
2. Ricontrollare Subject, Issuer, scopo e assegnazione al servizio.
3. Confermare il backup e l’accesso di gestione indipendente.
4. Nella riga del certificato, eseguire l’azione di revoca esattamente per quel certificato.
5. In Certificates > Certificate revocation lists, individuare la CRL della CA locale associata.
6. Selezionare Download. SFOS fornisce un archivio .tar dal quale viene estratto il file .crl.
7. Leggere la CRL scaricata con OpenSSL e confrontare il numero di serie del certificato di prova.
8. Ripetere il test positivo e negativo del servizio reale.

Sophos consente questa revoca diretta solo per i certificati firmati localmente. Se l’azione di revoca non compare per un certificato esterno, non si tratta di un errore dell’interfaccia. La CA esterna deve revocare il certificato ed emettere una CRL aggiornata.

Verificare l’effetto della lista di revoca

Un caricamento riuscito conferma solo che SFOS ha accettato il file. Non dimostra da solo che il servizio previsto valuti la CRL nel proprio percorso di autenticazione. Un collaudo affidabile è quindi composto da più livelli:

1. File: Issuer, firma, thisUpdate, nextUpdate e numero di serie sono corretti.
2. Elenco SFOS: La voce CRL prevista è visibile dopo il salvataggio.
3. Test positivo: Funziona un certificato ancora valido della catena di trust prevista.
4. Test negativo: Durante una finestra di manutenzione viene rifiutato un certificato di prova emesso e revocato appositamente.
5. Log del servizio: Momento, certificato e motivo del rifiuto corrispondono al test.
6. Operatività: Dopo un aggiornamento CRL e un failover HA pianificato, viene stabilita e testata una nuova connessione.

Il log corretto dipende dal servizio. Per IPsec basato su certificati, charon.log è una traccia importante; il flusso completo si trova in Troubleshooting IPsec VPN su Sophos Firewall. Altre funzioni usano altri log. Associare correttamente i log dei servizi Sophos Firewall collega queste funzioni a access_server.log, sslvpn.log, csc.log e ad altri file.

Un Packet Capture può mostrare l’avvio e l’interruzione di una connessione, ma non dimostra automaticamente una decisione CRL. Per questa verifica sono più importanti il log del servizio, i dati del certificato e il caso di test controllato.

Mantenere aggiornate le CRL in esercizio

Una CRL richiede un owner e un processo di rinnovo. Soprattutto con una CA esterna, l’aggiornamento non deve dipendere dalla memoria di una sola persona.

I dati operativi utili comprendono:

• team PKI o firewall responsabile;
• CA esatta e fonte attendibile;
• intervallo di aggiornamento previsto;
• nextUpdate dell’elenco attualmente importato;
• servizi firewall e casi di test interessati;
• ultimo test positivo e negativo riuscito;
• procedura per una revoca non pianificata dopo la compromissione di una chiave.

Dopo una revoca urgente non si attende la normale data di revisione. La CA esterna fornisce una CRL aggiornata, che viene verificata, importata e testata sul servizio interessato. Prima di modificare certificati di produzione si conserva un backup attuale del firewall con un percorso di ripristino verificato.

In un cluster HA non si deduce un comportamento runtime identico solo da una voce visibile su entrambi i nodi. Dopo un failover pianificato si stabilisce una nuova connessione e si controlla il log del nodo che ha effettivamente elaborato il test.

Circoscrivere gli errori in modo sistematico

SFOS rifiuta il file CRL

Per prima cosa, sul computer amministrativo si controlla che il file sia realmente una CRL e che sia codificato in DER o PEM. Un certificato rinominato, il download HTML di una pagina di errore del portale o un archivio danneggiato non sono una lista di revoca valida. In seguito si verificano issuer, firma e catena CA.

Il file non va convertito con convertitori online o siti web sconosciuti. Se serve un altro formato, la conversione viene eseguita localmente con OpenSSL oppure si richiede alla CA di fornire nuovamente la CRL nel formato necessario.

L’importazione funziona, ma anche il certificato revocato

Verificare questi punti nell’ordine:

• Certificato e CRL provengono davvero dalla stessa CA emittente?
• Il numero di serie del certificato è presente nella CRL?
• La CRL è aggiornata o nextUpdate è già nel passato?
• L’ora del firewall è corretta?
• Il test utilizza davvero il certificato previsto e non un altro da cache, profilo o assegnazione del servizio?
• È stata stabilita una nuova connessione oppure è proseguita solo una sessione esistente?
• Il log specifico del servizio mostra una verifica del certificato o della revoca?

Se manca una di queste basi, non si sperimenta con riavvii dei servizi o modifiche alla Default CA. Prima si dimostrano CA, numero di serie, CRL attuale e percorso reale della connessione.

Un certificato esterno non può essere revocato su SFOS

È il limite previsto del prodotto. Il firewall può revocare autonomamente solo certificati firmati localmente. Per un certificato firmato esternamente si avvia la revoca presso la CA esterna e poi si importa la nuova CRL.

Un servizio si interrompe dopo una revoca locale

Per prima cosa si usa l’accesso di gestione o console predisposto. Al servizio interessato viene assegnato un certificato sostitutivo valido e verificato in precedenza. Il certificato revocato non viene riutilizzato come soluzione di produzione. In seguito si ricontrollano il servizio, i log e il certificato effettivamente presentato.

Se non è chiaro quali servizi dipendano dalla CA o dalla CRL, non si revocano altri certificati e non si eliminano liste di revoca. Si salvano invece configurazione, assegnazioni dei certificati e dati di supporto e si analizza il caso con i responsabili PKI o Sophos Support.

FAQ