Sophos Firewall CA-certificaat distribueren voor TLS Inspection

Wanneer een Sophos Firewall HTTPS-verbindingen decodeert via TLS Inspection- of HTTPS-scanning, maakt de firewall een nieuw certificaat aan voor de verbinding die wordt gecontroleerd en ondertekent dit met een lokale CA. Clients moeten deze CA vertrouwen, anders verschijnen er browserwaarschuwingen of verbreken applicaties de verbinding.

De ingebouwde CA SecurityAppliance_SSL_CA is standaard beschikbaar in Sophos Firewall. Deze CA kan worden gedownload op Certificates > Certificate authorities en worden gedistribueerd naar beheerde clients. Maar het is niet alleen belangrijk dat er een Sophos CA op de clients staat. De gedistribueerde CA moet overeenkomen met de CA die daadwerkelijk wordt gebruikt voor het opnieuw ondertekenen in de TLS Inspectionconfiguratie.

Een omgeving met een eigen enterprise-PKI kan in plaats daarvan een toegewezen ondergeschikte CA voor Sophos Firewall TLS-inspectie uitgeven. Deze route houdt de signing-key op de firewall en koppelt vertrouwen aan de bestaande enterprise root-CA, maar vereist een gecontroleerd PKI- en pilotproces.

SecurityAppliance_SSL_CA is niet de ingebouwde CA Default voor lokaal ondertekende certificaten. Als die andere trust anchor moet worden geroteerd, geldt de procedure De Sophos Firewall Default CA gecontroleerd vernieuwen. Vervang beide CA-objecten niet samen op goed geluk.

Afhankelijk van de bedrijfsmodus wordt deze selectie op verschillende plaatsen gecontroleerd: voor op DPI gebaseerde SSL/TLS Inspectionregels is de CA onder Rules and policies > SSL/TLS inspection rules > SSL/TLS inspection settings relevant. Een Decryption Profile dat aan de regel is toegewezen, kan deze globale waarden overschrijven. Voor de webproxy bevindt de CA voor HTTPS-scannen zich onder Web > General settings > HTTPS decryption and scanning. Als het actieve pad een andere CA selecteert dan de CA die de clients vertrouwen, ontstaan certificaatfouten, ook al is er een Sophos CA gedistribueerd.

Het artikel Sophos Firewall TLS Inspection correct ingevoerd beschrijft de gehele uitrol. Deze handleiding richt zich op het distribueren van het CA-certificaat naar Windows, macOS en Firefox.

Wat dit certificaat doet

Het Sophos Firewall CA-certificaat is geen servercertificaat voor WebAdmin, WAF of VPN Portal. Het is de vertrouwensbasis waarmee clients de HTTPS-verbindingen accepteren die opnieuw door de firewall zijn ondertekend.

De scheiding is belangrijk:

• Firewall CA: ondertekent nieuw gegenereerde certificaten tijdens TLS Inspection.
• CA opnieuw ondertekenen of HTTPS CA scannen: de specifiek geselecteerde CA die de firewall gebruikt in DPI-modus of webproxymodus.
• Client Trust Store: beslist of browsers en applicaties deze CA vertrouwen.
• SSL/TLS Inspectionregel: bepaalt welk verkeer wordt gedecodeerd.
• Decryptieprofiel: bepaalt hoe strikt met certificaten, TLS-versies en fouten wordt omgegaan.
• Uitsluitingslijst: voorkomt decodering voor problematische of opzettelijk uitgesloten doelen.

Alleen de CA-distributie activeert TLS Inspection niet. De distributie voorkomt alleen dat beheerde clients certificaatwaarschuwingen weergeven voor gedecodeerd HTTPS-verkeer. Of verkeer daadwerkelijk wordt gedecodeerd, hangt af van firewallregels, webbeleid, SSL/TLS Inspectionregels, decoderingsprofielen en uitzonderingen.

Bovendien vervangt CA-distributie geen schone protocolcontrole. SSL/TLS Inspectionregels hebben toegang tot TCP-verkeer. Als het webverkeer via QUIC of HTTP/3 op UDP 443 loopt, ziet de controle er anders uit en moet deze afzonderlijk worden behandeld.

Vóór de uitrol

Vóór distributie moet duidelijk zijn welke cliënten TLS Inspection moeten gebruiken. Een CA-certificaat hoort niet ongecontroleerd op elk apparaat thuis, maar specifiek op beheerde bedrijfsclients.

Bereiding:

• Definieer testgroep of test-OE.
• Verduidelijk de bedrijfsmodus: DPI-modus, webproxy of beide varianten.
• Documenteer de geselecteerde CA in SSL/TLS inspection settings, de gebruikte Decryption Profiles en Web General settings.
• Document terugdraaien en uitzonderingsproces.
• Download CA-certificaat alleen vanuit uw eigen firewall.
• Test de distributie eerst op een paar apparaten.
• Controleer browsers, bedrijfsapplicaties en updates na distributie.
• Evalueer mobiele apparaten en apps afzonderlijk met hun eigen truststore of certificaatpinning.
• Verwijder oude of niet meer gebruikte CA-certificaten uit de Client Trust Store.

⚠️ Let op: Als de CA of privésleutel is gecompromitteerd, is herverdeling niet voldoende. Vervolgens moet de CA op de firewall opnieuw worden gegenereerd, opnieuw worden gedistribueerd en moet de oude CA van de clients worden verwijderd.

Selecteer distributieroute

Het juiste distributiepad is afhankelijk van de manier waarop de apparaten worden beheerd.

• Windows Domain Clients: Gebruik GPO in Trusted Root Certification Authorities. Dit is de schoonste manier voor klassieke Active Directory-omgevingen.
• Windows zonder domein: Gebruik MDM, Intune of lokale import. Lokale import is geschikter voor tests of individuele apparaten.
• macOS: Gebruik MDM-profiel of sleutelhanger System. Handmatige installatie is meer geschikt voor test- of kleine omgevingen.
• Firefox: Gebruik Windows Trust Store of implementeer Mozilla Enterprise Policies. Het gedrag van Firefox moet afzonderlijk worden gecontroleerd.
• BYOD of persoonlijke apparaten: worden normaal gesproken niet verspreid. TLS Inspection behoort tot beheerde bedrijfsapparaten.
• Server: alleen distribueren naar doelbewust geteste serverworkloads. Uitgaand serververkeer kan andere risico’s en uitzonderingen met zich meebrengen.

Voor productieve activiteiten is het van cruciaal belang dat dezelfde uitrol later kan worden teruggedraaid. Iedereen die de CA verspreidt via GPO, MDM of beleid, moet daarom ook de intrekking van de oude CA testen.

Sophos Firewall CA downloaden

Op de Sophos Firewall wordt het certificaat gedownload in de webinterface:

1. Meld u als beheerder aan bij Sophos Firewall.
2. Certificates > Certificate authorities openen.
3. Zoek de CA SecurityAppliance_SSL_CA of de bewust gebruikte eigen CA.
4. Download het certificaat met behulp van het downloadsymbool.
5. Controleer vervolgens of dezelfde CA is geselecteerd in de actieve TLS Inspectionconfiguratie.

Het certificaat is dan doorgaans beschikbaar als SecurityAppliance_SSL_CA.pem. Dit bestand bevat het openbare deel van de CA en kan naar klanten worden gedistribueerd. De privésleutel mag niet onder clients worden verdeeld.

In SFOS 22 kunt u de werkelijk geselecteerde CA ook rechtstreeks downloaden op de plaats waar deze wordt gebruikt. In het DPI-pad staat het downloadpictogram naast Re-sign RSA with en Re-sign EC with. Als twee verschillende CA’s zijn geselecteerd, moeten de betrokken clients beide vertrouwen. In het Web Proxy-pad staat het pictogram naast HTTPS scanning certificate authority (CA). Downloaden op de gebruikslocatie verkleint het risico dat een gelijknamig maar niet actief CA-object wordt verspreid.

Het bestand moet worden behandeld als een beveiligingsgerelateerd configuratie-item. Het publieke deel is geen wachtwoord, maar bepaalt welke CA clients vertrouwen. Het bestand moet daarom uit de eigen productiefirewall komen, van versiebeheer zijn voorzien of ten minste traceerbaar worden opgeslagen en niet uit oude projecten worden hergebruikt. Leg vóór distributie Subject, Issuer, serienummer, geldigheidsduur en fingerprint uit de certificaatdetails vast. Vergelijk deze waarden na de import op ten minste één pilotclient; alleen de weergavenaam is geen betrouwbaar identiteitsbewijs.

Er zijn twee extra paden voor het controleren van de actieve CA:

• DPI-modus: Open Rules and policies > SSL/TLS inspection rules > SSL/TLS inspection settings en vergelijk de daar geselecteerde CA met het gedownloade bestand. Als de actieve regel een Decryption Profile gebruikt, controleer dan ook de Re-Signing CA daarvan.
• Web Proxy: Open Web > General settings > HTTPS decryption and scanning en controleer de HTTPS Scanning CA.

Deze controle voorkomt een veelvoorkomende uitrolfout: de standaard-CA wordt naar de clients gedistribueerd, terwijl de firewall al een andere CA in een Decryption Profile of in de webproxy gebruikt.

Windows: Certificaat distribueren via GPO

In Active Directory-omgevingen is een groepsbeleid de schoonste manier. Edge, Chrome en veel Windows-applicaties vertrouwen op het Windows-certificaatarchief.

Aanbevolen pad in Groepsbeleidsbeheer:

Computer Configuration > Policies > Windows Settings > Security Settings > Public Key Policies > Trusted Root Certification Authorities > Certificates

Werkwijze:

1. Open Groepsbeleidsbeheer op een domeincontroller of beheerdersclient.
2. Gebruik het bestaande GPO voor de clientbasislijn of maak een nieuw GPO voor de TLS Inspectiontestgroep.
3. Ga naar pad Trusted Root Certification Authorities > Certificates.
4. Klik met de rechtermuisknop in de certificaatlijst.
5. Selecteer All Tasks > Import.
6. Importeer SecurityAppliance_SSL_CA.pem.
7. Koppel de GPO alleen aan de gewenste OU of beveiligingsgroep.
8. Voer gpupdate /force uit op een testclient of wacht op de reguliere update.

Voor productieomgevingen mag het GPO niet rechtstreeks op alle computers worden toegepast. Een test-OE verkleint het risico als een certificaat verkeerd wordt geïmporteerd of een applicatie onverwacht reageert.

Windows: certificaat lokaal installeren

Het certificaat kan lokaal worden geïmporteerd voor individuele testapparaten. Er zijn twee verstandige varianten:

• Lokale computerwinkel: is van toepassing op alle gebruikers op het apparaat en is meestal correct voor beheerde clients.
• Huidige gebruikerswinkel: geldt alleen voor de ingelogde gebruiker en is soms voldoende om te testen.

Voor de lokale computer:

1. Meld u aan als lokale beheerder.
2. Start certlm.msc.
3. Trusted Root Certification Authorities > Certificates openen.
4. Klik met de rechtermuisknop in de certificatenlijst.
5. Selecteer All Tasks > Import.
6. Importeer SecurityAppliance_SSL_CA.pem.

Als alternatief kan certmgr.msc voor de huidige gebruiker worden gebruikt.

Na het importeren moeten browsers en applicaties opnieuw worden opgestart. Voor sommige toepassingen is het zinvol om uit te loggen of de client opnieuw op te starten.

macOS: vertrouwenscertificaat in sleutelhanger

Op macOS wordt het certificaat geïmporteerd via Keychain Access.

Werkwijze:

1. Kopieer SecurityAppliance_SSL_CA.pem naar de Mac.
2. Open het certificaat door te dubbelklikken.
3. Implementeren in Keychain Systeem of een beheerd MDM-profiel.
4. Open het certificaat en stel onder Vertrouwen de optie Altijd vertrouwen in.
5. Bevestig de wijziging met een beheerdersaccount.
6. Start de browser en de betrokken applicaties opnieuw.

In grotere macOS-omgevingen zou distributie via MDM moeten plaatsvinden. Handmatige installatie is meer geschikt voor testen of individuele apparaten.

Mobiele apparaten met Sophos Mobile

Voor een groter aantal beheerde Android-, iOS- en iPadOS-apparaten moet de CA via een MDM-policy worden gedistribueerd. Sophos Mobile kan het rootcertificaat rechtstreeks toevoegen aan de apparaatpolicy die al is toegewezen. Apple adviseert MDM of Apple Configurator; met Apple Configurator wordt eerst op macOS een configuratieprofiel gemaakt.

Voorbeeld voor iOS en iPadOS in Sophos Mobile:

1. Open Policies > iOS & iPadOS.
2. Selecteer de policy die al aan de bedoelde apparaten is toegewezen.
3. Selecteer op de pagina Edit policy Add > Root certificate.
4. Gebruik onder Root certificate Upload a file om uitsluitend het openbare CA-certificaat te uploaden dat de apparaten volgens de geplande keten moeten vertrouwen. Voor SecurityAppliance_SSL_CA is dit het openbare CA-deel dat uit SFOS is gedownload.
5. Sla op met Apply en daarna Save.
6. Gebruik in de policylijst de pijl en selecteer Update devices. Als deze optie ontbreekt, wordt de wijziging bij de volgende automatische synchronisatie uitgerold.

Voor Android wordt het rootcertificaat op dezelfde manier aan een Android-policy toegevoegd. Controleer daarna niet alleen de policystatus. Op iOS staat de controle onder Settings > General > About > Certificate Trust Settings; op Android onder Settings > Security > Advanced > Encryption & credentials > User credentials. Een echte ontsleutelde HTTPS-aanvraag blijft het definitieve bewijs.

Controleer op iOS daar de vertrouwensstatus van het bedoelde rootcertificaat nadat de identiteit ervan is geverifieerd aan de hand van de vastgelegde fingerprint. Als het vertrouwen nog is uitgeschakeld, schakel het onder Enable full trust for root certificates uitsluitend voor dit rootcertificaat in. Als het al wordt vertrouwd, laat de instelling dan ongewijzigd; herhaal daarna de ontsleutelde HTTPS-aanvraag om het resultaat te controleren.

De privésleutel van de CA voor herondertekening hoort nooit in Sophos Mobile of op een endpoint. Alleen het openbare CA-certificaat wordt gedistribueerd. Begin met een kleine pilotgroep en test ook het intrekken van de CA.

Controleer het certificaat op beheerde apparaten

Na distributie dient u op minimaal één testapparaat per platform te controleren of de CA daadwerkelijk in de juiste truststore terecht is gekomen.

• Windows Computer Store: Open certlm.msc en zoek onder Trusted Root Certification Authorities > Certificates.
• Windows Huidige gebruikerswinkel: Open certmgr.msc en controleer de gebruikersvertrouwensopslag.
• macOS: Open Keychain Access en controleer de vertrouwensstatus in de Systeem-sleutelhanger.
• Firefox: Open Settings > Privacy & Security > Certificates > View Certificates.

Als een certificaat alleen in het gebruikersarchief staat, maar een applicatie het computerarchief verwacht, kan de browser werken en kan een andere applicatie nog steeds certificaatfouten weergeven. Omgekeerd kunnen browsers met een eigen truststore de Windows- of macOS-distributie negeren als ze niet dienovereenkomstig zijn geconfigureerd.

Firefox op Windows

Actuele Firefox-versies op Windows doorzoeken standaard het certificaatarchief van het besturingssysteem naar aanvullend geïnstalleerde Root CA’s. Als de Sophos Firewall CA via GPO naar de Windows Computer Store wordt gedistribueerd, is een tweede import in een afzonderlijke Firefox-database daarom normaal niet nodig. Dit gedrag wordt in Firefox geregeld via Allow Firefox to automatically trust third-party root certificates you install, de voorkeur security.enterprise_roots.enabled of de Enterprise Policy ImportEnterpriseRoots.

In beheerde Windows-omgevingen zijn er daarom twee zinvolle routes:

• De Windows truststore gebruiken: de aanbevolen standaardroute wanneer de CA al via een computer-GPO wordt gedistribueerd. Het automatische gebruik van CA’s uit het besturingssysteem moet in de beheerde Firefox-configuratie ingeschakeld blijven.
• Het certificaat rechtstreeks via een Mozilla Enterprise Policy importeren: een alternatief wanneer het Firefox-vertrouwen bewust afzonderlijk wordt beheerd of de truststore van het besturingssysteem niet mag worden gebruikt.

Bij de eerste route kan de uit Windows overgenomen CA werken zonder als afzonderlijk geïmporteerde vermelding in Firefox Certificate Manager te verschijnen. De Windows Computer Store en een echte HTTPS-test zijn dan bepalend. De volgende GPO-instructies beschrijven de tweede route met Install Certificates.

Firefox GPO-sjablonen downloaden

Mozilla stelt de beleidssjablonen beschikbaar op GitHub. Wat is er onder andere nodig:

• firefox.admx
• mozilla.admx
• firefox.adml
• mozilla.adml

De bestanden kunnen worden gedownload van de Mozilla Policy Templates Repository of als policy_templates.zip.

Import templates

De ADMX- en ADML-bestanden worden gekopieerd naar het centrale PolicyDefinitions-pad.

Typisch lokaal pad:

C:\Windows\PolicyDefinitions

Als er een centrale opslag in het domein aanwezig is, wordt in plaats daarvan de map PolicyDefinitions onder SYSVOL gebruikt.

Configureer het Firefox-beleid

Het certificaat wordt vervolgens ingevoerd in het groepsbeleid onder het Firefox-beleid:

Administrative Templates > Mozilla > Firefox > Certificates > Install Certificates

Werkwijze:

1. Schakel het beleid Certificaten installeren in.
2. Voer de bestandsnaam van het certificaat in, bijvoorbeeld SecurityAppliance_SSL_CA.pem.
3. Kopieer het certificaatbestand via GPO of softwaredistributie naar de verwachte gebruikersprofielmap.

Afhankelijk van de Firefox-versie en beleidsconfiguratie worden certificaten uit deze mappen gelezen:

%USERPROFILE%\AppData\Local\Mozilla\Certificates
%USERPROFILE%\AppData\Roaming\Mozilla\Certificates

Na de volgende Firefox-sessie zou het certificaat zichtbaar moeten zijn in Firefox Certificate Manager.

Mozilla beschrijft het aanbevolen vertrouwen in het besturingssysteem en de import via beleid in Set up Certificate Authorities (CAs) in Firefox. Aanvullende paden en varianten staan in de wiki: Voeg rootcertificaat toe aan Firefox.

Functie controleren

Na de distributie moet niet alleen worden gecontroleerd of het certificaat aanwezig is. Doorslaggevend is of TLS Inspection correct werkt.

Nuttige testen:

1. Start de testclient opnieuw of log de gebruiker opnieuw in.
2. Browser opent en een HTTPS-pagina opent de verbinding met de Sophos Firewall.
3. Bekijk het certificaat van de website in de browser.
4. Controleer of de certificaatketen via SecurityAppliance_SSL_CA of exact de geselecteerde Sophos CA loopt.
5. Controleer op de firewall in Log Viewer > SSL/TLS inspection of het verkeer als gedecodeerd wordt weergegeven en welke regel of actie is ondernomen.
6. Test belangrijke bedrijfsapplicaties, updateservices, samenwerkingstools en identiteitsproviders.

Als de browser het originele certificaat van de openbare website blijft weergeven, is deze verbinding niet gedecodeerd. Dan is óf geen geschikte SSL/TLS Inspectionregel van toepassing, wint een uitzondering, loopt het verkeer over een ander pad of omzeilt QUIC/HTTP/3 het verwachte TCP-pad.

Als de browserwaarschuwing verdwijnt maar applicaties fouten blijven vertonen, ligt het probleem vaak niet bij het certificaat zelf. Het vastzetten van certificaten, ontbrekende TLS-uitzonderingen, een onjuist decoderingsprofiel of een ongeschikte SSL/TLS Inspectionregel zijn vaak de oorzaak.

Bij webverkeer moet ook worden gecontroleerd of QUIC of HTTP/3 de verwachte controle omzeilt. In het artikel Sophos Firewall QUIC en HTTP/3 correct blokkeren wordt uitgelegd waarom het Blokkeer QUIC protocol relevant blijft bij webfiltering, malwarescans en TLS Inspection.

Typische fouten

• Browser toont nog steeds een certificaatwaarschuwing: De CA bevindt zich waarschijnlijk niet in de juiste vertrouwensopslag. Controleer het Windows-, macOS- of Firefox-certificaatarchief.
• Chrome werkt, Firefox niet: controleer of Firefox de aanvullend geïnstalleerde Root CA’s van het besturingssysteem mag gebruiken of dat er een afzonderlijke Mozilla Enterprise Policy geldt. Start Firefox daarna opnieuw en test het werkelijke HTTPS-pad.
• Individuele toepassingen breken: Het vastzetten van certificaten of uw eigen certificaatcontrole is waarschijnlijk. TLS Inspection Log Viewer en vink uitzonderingen aan.
• Slechts enkele clients werken: De GPO werkt niet of is aan de verkeerde OU gekoppeld. Controleer gpresult en GPO-link.
• CA is geïnstalleerd, maar de waarschuwing blijft bestaan: De gedistribueerde CA komt mogelijk niet overeen met de CA in het decoderingsprofiel, in de SSL/TLS Inspection-instellingen of onder Algemene webinstellingen.
• DPI werkt, Web Proxy niet of omgekeerd: Beide paden kunnen anders worden geconfigureerd. Controleer geselecteerde CA, besturingspad en Log Viewer per bedrijfsmodus.
• Na CA-regeneratie zijn er waarschuwingen: De oude CA staat nog steeds op clients of de nieuwe CA ontbreekt. Verwijder de oude CA en distribueer een nieuwe CA.
• URL-feeds of webfilters werken niet zoals verwacht: Het HTTPS-pad is niet gedecodeerd. TLS Inspection en controleer het webbeleid.
• Certificaat is aanwezig, maar verkeer is niet gedecodeerd: Een geschikte SSL/TLS Inspectionregel ontbreekt of het verkeer gaat over het verkeerde DPI/webproxy-pad. Controleer TLS-uitrol, firewallregel en Log Viewer.
• Alleen mobiele apps of individuele clients falen: Eigen truststore, certificaatpinning of app-specifieke controle is waarschijnlijk. Vooral Android- en mobiele-app-verkeer moeten specifiek worden getest en indien nodig uitgesloten, in plaats van de CA breed en blind te verspreiden.

CA-rotatie en noodgeval

Een CA mag niet jarenlang onopgemerkt worden geëxploiteerd zonder dat de houdbaarheidsdatum, herkomst en distributie bekend zijn. Voor productieve omgevingen moet er een klein levenscyclusproces zijn.

De ingebouwde SecurityAppliance_SSL_CA kan opnieuw worden gegenereerd. Dit is echter geen risicoloze voorbereidingsstap: de oude en nieuwe CA worden niet automatisch parallel op alle clients vertrouwd. Gebruik voor een geplande DPI-overgang met overlap een afzonderlijk voorbereide signing-CA en test deze via een nauw afgebakend Decryption Profile. De webproxy heeft daarentegen alleen de algemene HTTPS scanning certificate authority (CA). Een wijziging daarvan geldt voor het volledige webproxypad en hoort daarom in een onderhoudsvenster; alle betrokken clients moeten de nieuwe publieke CA vooraf vertrouwen. In beide gevallen blijft de privésleutel op de firewall.

Geplande wijziging:

1. Leg de actieve CA-selectie, fingerprints en alle verwijzingen vast. Bereid een afzonderlijke signing-CA voor zonder de ingebouwde CA als eerste stap opnieuw te genereren.
2. Distribueer alleen het publieke certificaat of de vereiste publieke CA-keten: eerst naar de DPI-pilotgroep, of naar alle betrokken clients vóór een algemene webproxywijziging.
3. Activeer in DPI-modus de nieuwe CA via een nauw afgebakend Decryption Profile en controleer de Issuer, logvermelding en toepassingen van de pilotgroep.
4. Distribueer na een geslaagde DPI-pilot het publieke certificaat naar alle betrokken beheerde apparaten en bevestig de import aan de hand van de fingerprint.
5. Wijzig de overige DPI-velden of de algemene webproxy-CA. Controleer met nieuwe verbindingen of de nieuwe CA ondertekent en de verwachte regel wordt toegepast.
6. Verwijder de oude CA pas uit de truststores van clients wanneer geen enkel inspectiepad er nog naar verwijst en alle betrokken apparaten de nieuwe CA hebben ontvangen.

Noodsituatie bij compromis:

1. TLS Inspection indien nodig gecontroleerd beperken of tijdelijk deactiveren.
2. Vervang de betrokken CA in de firewall.
3. Rol de nieuwe CA uit via het gedefinieerde distributiekanaal.
4. Verwijder oude CA uit alle truststores.
5. Bekijk uitzonderingen, Log Viewer en betrokken applicaties.
6. Documenteer wijzigingen in het incident- of wijzigingssysteem.

Belangrijk: Een gecompromitteerde CA is geen normaal certificaatprobleem. Als een aanvaller de privésleutel beheert, kunnen clients valse certificaten vertrouwen. Dan moet de oude CA consequent worden verwijderd.

Bij een normale rollback herstelt u eerst in het inspectiepad de eerder vastgelegde CA of schakelt u de pilotregel uit. Verwijder de uitsluitend voor de pilot verspreide CA pas nadat een nieuwe verbinding opnieuw de oude Issuer of het oorspronkelijke, niet-ontsleutelde pad toont. Als het clientvertrouwen eerst wordt ingetrokken terwijl de firewall nog met die CA ondertekent, ontstaan certificaatfouten. Verwijder geen gedeelde CA’s of CA’s waarnaar nog wordt verwezen.

Bediening en onderhoud

Het CA-certificaat moet onderdeel zijn van het operationele proces:

• Vervaldatum van het document en verantwoordelijke persoon.
• Voer alleen de geplande CA-regeneratie uit.
• Verwijder oude CA van clients na migratie.
• Controleer regelmatig de distributie via GPO of MDM.
• Documenteer en controleer periodiek TLS-uitzonderingen.
• Start het incident- en CA-wisselproces als de private signing key of firewall mogelijk is gecompromitteerd. Verlies van een client waarop alleen het openbare CA-certificaat staat, brengt de signing key niet in gevaar.

Als u TLS Inspection wijzigt, moet u ook de betreffende firewallregels, decoderingsprofielen en uitsluitingslijsten controleren. Anders zal de client de CA vertrouwen, maar zal de firewall het gewenste verkeer nog steeds niet ontsleutelen.

Veelgestelde vragen