Distribuir o certificado CA do Sophos Firewall para Inspeção TLS

Quando um Sophos Firewall descriptografa conexões HTTPS através de Inspeção TLS ou Escaneamento HTTPS, o firewall cria um novo certificado para a conexão inspecionada e o assina com uma CA local. Os clientes devem confiar nesta CA, caso contrário, aparecerão avisos no navegador ou os aplicativos interromperão a conexão.

No Sophos Firewall, a CA integrada SecurityAppliance_SSL_CA está disponível por predefinição. Esta CA pode ser descarregada em Certificates > Certificate authorities e distribuída aos clientes geridos. No entanto, não basta que uma CA qualquer da Sophos esteja instalada nos clientes. A CA distribuída deve corresponder à CA realmente utilizada para o Re-Signing na configuração de TLS Inspection.

Um ambiente com a sua própria PKI empresarial pode, em alternativa, emitir uma CA subordinada dedicada para a inspeção TLS da Sophos Firewall. Este caminho mantém a chave de assinatura na firewall e associa a confiança à CA raiz empresarial existente, mas exige um processo controlado de PKI e piloto.

SecurityAppliance_SSL_CA não é a CA integrada Default para certificados assinados localmente. Se for necessário rodar esse outro trust anchor, aplica-se o procedimento Renovar de forma controlada a Default CA do Sophos Firewall. Não substituir os dois objetos CA em conjunto apenas por suspeita.

Consoante o modo de operação, esta seleção é verificada em pontos diferentes: nas SSL/TLS Inspection Rules baseadas em DPI, é relevante a CA em Rules and policies > SSL/TLS inspection rules > SSL/TLS inspection settings. Um Decryption Profile atribuído à regra pode substituir estes valores globais. No Web Proxy, a HTTPS Scanning CA encontra-se em Web > General settings > HTTPS decryption and scanning. Se o caminho ativo selecionar uma CA diferente daquela em que os clientes confiam, ocorrem erros de certificado mesmo que tenha sido distribuída uma CA da Sophos.

O artigo Implementar corretamente a Inspeção TLS do Sophos Firewall descreve toda a implementação. Este guia concentra-se na distribuição do certificado CA para Windows, macOS e Firefox.

O que este certificado faz

O certificado CA do Sophos Firewall não é um certificado de servidor para WebAdmin, WAF ou Portal VPN. É a base de confiança com a qual os clientes aceitam as conexões HTTPS recém-assinadas pelo firewall.

É importante a separação:

• CA do Firewall: assina certificados recém-criados durante a Inspeção TLS.
• Re-Signing CA ou HTTPS Scanning CA: a CA selecionada concretamente que a firewall utiliza no modo DPI ou Web Proxy.
• Armazenamento de Confiança do Cliente: decide se navegadores e aplicativos confiam nesta CA.
• Regra de Inspeção SSL/TLS: decide qual tráfego será descriptografado.
• Perfil de Descriptografia: define quão rigorosamente os certificados, versões TLS e erros são tratados.
• Lista de Exclusão: impede a descriptografia para destinos problemáticos ou intencionalmente excluídos.

A distribuição da CA por si só não ativa a Inspeção TLS. A distribuição apenas impede que clientes gerenciados exibam avisos de certificado quando o tráfego HTTPS é descriptografado. Se o tráfego será realmente descriptografado depende das regras do firewall, política da web, regras de inspeção SSL/TLS, perfis de descriptografia e exceções.

Além disso, a distribuição da CA não substitui um controlo correto dos protocolos. As SSL/TLS Inspection Rules aplicam-se ao tráfego TCP. Se o tráfego web utilizar QUIC ou HTTP/3 sobre UDP 443, a inspeção segue um caminho diferente e deve ser tratada separadamente.

Antes da implementação

Antes da distribuição, deve estar claro quais clientes devem usar a Inspeção TLS. Um certificado CA não deve ser colocado indiscriminadamente em todos os dispositivos, mas direcionado para clientes corporativos gerenciados.

Preparação:

• Definir um grupo de teste ou OU de teste.
• Esclarecer o modo de operação: modo DPI, Web Proxy ou ambas as variantes.
• Documentar a CA selecionada em SSL/TLS inspection settings, nos Decryption Profiles utilizados e em Web General settings.
• Documentar o processo de rollback e exceção.
• Baixar o certificado CA apenas do próprio firewall.
• Testar a distribuição em poucos dispositivos primeiro.
• Verificar navegadores, aplicativos empresariais e atualizações após a distribuição.
• Avaliar separadamente dispositivos móveis e apps com armazenamento de confiança próprio ou Certificate Pinning.
• Remover certificados CA antigos ou não utilizados do Armazenamento de Confiança do Cliente.

⚠️ Atenção: Se a CA ou a chave privada foi comprometida, uma nova distribuição não é suficiente. A CA deve ser regenerada no firewall, redistribuída e a antiga CA removida dos clientes.

Escolher o método de distribuição

O método de distribuição correto depende de como os dispositivos são gerenciados.

• Clientes de Domínio Windows: GPO em Trusted Root Certification Authorities. adequado para ambientes clássicos de Active Directory.
• Windows sem Domínio: MDM, Intune ou importação local. importação local apenas para testes ou dispositivos individuais.
• macOS: Perfil MDM ou chaveiro System. instalação manual apenas para testes ou pequenos ambientes.
• Firefox: Usar Armazenamento de Confiança do Windows ou Políticas Empresariais da Mozilla. comportamento do Firefox deve ser verificado separadamente.
• BYOD ou dispositivos privados: normalmente não distribuir. Inspeção TLS deve estar em dispositivos corporativos gerenciados.
• Servidores: apenas para cargas de trabalho de servidor intencionalmente inspecionadas. tráfego de saída do servidor pode ter outros riscos e exceções.

Para operação produtiva, é crucial que a mesma implementação possa ser revertida posteriormente. Quem distribui a CA via GPO, MDM ou política deve, portanto, também testar a remoção da antiga CA.

Baixar o CA do Sophos Firewall

No Sophos Firewall, o certificado é baixado na interface web:

1. Faça login como administrador no Sophos Firewall.
2. Abra Certificates > Certificate authorities.
3. Encontre a CA SecurityAppliance_SSL_CA ou a CA própria utilizada de forma consciente.
4. Baixe o certificado através do ícone de download.
5. Em seguida, verifique se a mesma CA está selecionada na configuração ativa de TLS Inspection.

O certificado geralmente é salvo como SecurityAppliance_SSL_CA.pem. Este arquivo contém a parte pública da CA e pode ser distribuído para os clientes. A chave privada não deve ser distribuída para os clientes.

O arquivo deve ser tratado como um elemento de configuração de segurança. A parte pública não é uma senha, mas define em qual CA os clientes confiarão no futuro. Portanto, o arquivo deve vir do próprio firewall produtivo, ser versionado ou pelo menos armazenado de forma rastreável e não reutilizado de projetos antigos.

Existem dois caminhos adicionais para controlar a CA ativa:

• Modo DPI: abrir Rules and policies > SSL/TLS inspection rules > SSL/TLS inspection settings e comparar a CA aí selecionada com o ficheiro descarregado. Se a regra ativa utilizar um Decryption Profile, verificar também a respetiva Re-Signing CA.
• Web Proxy: abrir Web > General settings > HTTPS decryption and scanning e verificar a HTTPS Scanning CA.

Esta verificação evita um erro frequente de rollout: a CA predefinida é distribuída aos clientes enquanto a firewall já utiliza outra CA num Decryption Profile ou no Web Proxy.

Distribuir o certificado no Windows via GPO

Em ambientes de Active Directory, uma política de grupo é o método mais limpo. Edge, Chrome e muitos aplicativos do Windows confiam no armazenamento de certificados do Windows.

Caminho recomendado na administração de políticas de grupo:

Computer Configuration > Policies > Windows Settings > Security Settings > Public Key Policies > Trusted Root Certification Authorities > Certificates

Procedimento:

1. Abra a administração de políticas de grupo em um controlador de domínio ou cliente administrador.
2. Use uma GPO existente para a linha de base do cliente ou crie uma nova GPO para o grupo de teste de Inspeção TLS.
3. Navegue até Trusted Root Certification Authorities > Certificates.
4. Clique com o botão direito na lista de certificados.
5. Selecione All Tasks > Import.
6. Importe SecurityAppliance_SSL_CA.pem.
7. Vincule a GPO apenas à OU ou grupo de segurança desejado.
8. Execute gpupdate /force em um cliente de teste ou aguarde a atualização regular.

Para ambientes produtivos, a GPO não deve ser aplicada diretamente a todos os computadores. Uma OU de teste reduz o risco se um certificado for importado incorretamente ou um aplicativo reagir de forma inesperada.

Instalar o certificado localmente no Windows

Para dispositivos de teste individuais, o certificado pode ser importado localmente. Existem duas variantes adequadas:

• Armazenamento do Computador Local: aplica-se a todos os usuários no dispositivo e geralmente é correto para clientes gerenciados.
• Armazenamento do Usuário Atual: aplica-se apenas ao usuário logado e às vezes é suficiente para testes.

Para o computador local:

1. Faça login como administrador local.
2. Inicie certlm.msc.
3. Abra Trusted Root Certification Authorities > Certificates.
4. Clique com o botão direito na lista de certificados.
5. Selecione All Tasks > Import.
6. Importe SecurityAppliance_SSL_CA.pem.

Para o usuário atual, certmgr.msc pode ser usado como alternativa.

Após a importação, os navegadores e aplicativos devem ser reiniciados. Em alguns aplicativos, pode ser necessário fazer logout ou reiniciar o cliente.

Confiar no certificado no chaveiro do macOS

No macOS, o certificado é importado através da administração do chaveiro.

Procedimento:

1. Copie SecurityAppliance_SSL_CA.pem para o Mac.
2. Abra o certificado com um duplo clique.
3. Disponibilize no chaveiro System ou em um perfil MDM gerenciado.
4. Abra o certificado e, em Trust, defina Always Trust.
5. Confirme a alteração com uma conta de administrador.
6. Reinicie navegadores e aplicativos afetados.

Em ambientes macOS maiores, a distribuição deve ser feita via MDM. A instalação manual é mais adequada para testes ou dispositivos individuais.

Dispositivos móveis com Sophos Mobile

Para um maior número de dispositivos Android, iOS e iPadOS geridos, a CA deve ser distribuída através de uma política MDM. O Sophos Mobile pode adicionar o certificado raiz diretamente à política de dispositivos já atribuída. A Apple recomenda MDM ou Apple Configurator; com o Apple Configurator, é necessário criar primeiro um perfil de configuração no macOS.

Exemplo para iOS e iPadOS no Sophos Mobile:

1. Abrir Policies > iOS & iPadOS.
2. Selecionar a política já atribuída aos dispositivos previstos.
3. Na página Edit policy, selecionar Add > Root certificate.
4. Em Root certificate, utilizar Upload a file para carregar exclusivamente o certificado público da CA em que os dispositivos devem confiar segundo a cadeia planeada. Para SecurityAppliance_SSL_CA, trata-se da parte pública da CA descarregada do SFOS.
5. Guardar com Apply e depois Save.
6. Na lista de políticas, utilizar a seta e selecionar Update devices. Se esta opção não estiver disponível, a alteração é distribuída durante a próxima sincronização automática.

No Android, o certificado raiz é adicionado de forma equivalente a uma política Android. Depois, não basta verificar o estado da política. No iOS, a verificação encontra-se em Settings > General > About > Certificate Trust Settings; no Android, em Settings > Security > Advanced > Encryption & credentials > User credentials. Um pedido HTTPS realmente desencriptado continua a ser a prova final.

A chave privada da CA de re-assinatura nunca deve ser colocada no Sophos Mobile nem num endpoint. Apenas o certificado público da CA é distribuído. Começar com um pequeno grupo piloto e testar também a remoção da CA.

Verificar o certificado em dispositivos gerenciados

Após a distribuição, deve-se verificar em pelo menos um dispositivo de teste por plataforma se a CA realmente foi parar no Armazenamento de Confiança correto.

• Armazenamento do Computador Windows: Abra certlm.msc e procure em Trusted Root Certification Authorities > Certificates.
• Armazenamento do Usuário Atual Windows: Abra certmgr.msc e verifique o armazenamento de confiança do usuário.
• macOS: Abra a administração do chaveiro e verifique o status de confiança no chaveiro System.
• Firefox: Abra Settings > Privacy & Security > Certificates > View Certificates.

Se um certificado estiver apenas no armazenamento do usuário, mas um aplicativo esperar o armazenamento do computador, o navegador pode funcionar e outro aplicativo ainda mostrar erros de certificado. Por outro lado, navegadores com armazenamento de confiança próprio podem ignorar a distribuição do Windows ou macOS se não estiverem configurados adequadamente.

Firefox no Windows

As versões atuais do Firefox no Windows pesquisam, por predefinição, no armazenamento de certificados do sistema operativo as Root CAs instaladas adicionalmente. Se a CA do Sophos Firewall for distribuída por GPO para o Windows Computer Store, normalmente não é necessário importá-la uma segunda vez numa base de dados separada do Firefox. Este comportamento é controlado no Firefox por Allow Firefox to automatically trust third-party root certificates you install, pela preferência security.enterprise_roots.enabled ou pela política empresarial ImportEnterpriseRoots.

Assim, existem dois caminhos adequados em ambientes Windows geridos:

• Utilizar o armazenamento de confiança do Windows: é o caminho padrão recomendado quando a CA já é distribuída por uma GPO de computador. A utilização automática das CAs do sistema operativo deve permanecer ativa na configuração gerida do Firefox.
• Importar diretamente o certificado através de uma Mozilla Enterprise Policy: é a alternativa quando a confiança do Firefox é gerida intencionalmente em separado ou quando não se pretende utilizar o armazenamento de confiança do sistema operativo.

No primeiro caminho, a CA herdada do Windows pode funcionar sem aparecer como uma entrada importada separadamente na gestão de certificados do Firefox. Nesse caso, são determinantes o Windows Computer Store e um teste HTTPS real. As instruções GPO seguintes descrevem o segundo caminho com Install Certificates.

Baixar modelos de GPO do Firefox

A Mozilla disponibiliza os modelos de política no GitHub. São necessários, entre outros:

• firefox.admx
• mozilla.admx
• firefox.adml
• mozilla.adml

Os arquivos podem ser baixados do Repositório de Modelos de Política da Mozilla ou como policy_templates.zip.

Importar modelos

Os arquivos ADMX e ADML são copiados para o caminho central PolicyDefinitions.

Caminho local típico:

C:\Windows\PolicyDefinitions

Em um Central Store no domínio, a pasta PolicyDefinitions sob SYSVOL é usada.

Configurar política do Firefox

Na política de grupo, o certificado é então registrado nas políticas do Firefox:

Administrative Templates > Mozilla > Firefox > Certificates > Install Certificates

Procedimento:

1. Ative a política Install Certificates.
2. Insira o nome do arquivo do certificado, por exemplo, SecurityAppliance_SSL_CA.pem.
3. Copie o arquivo de certificado via GPO ou distribuição de software para o diretório de perfil de usuário esperado.

Dependendo da versão do Firefox e da configuração da política, os certificados são lidos destes diretórios:

%USERPROFILE%\AppData\Local\Mozilla\Certificates
%USERPROFILE%\AppData\Roaming\Mozilla\Certificates

Após a próxima sessão do Firefox, o certificado deve ser visível na administração de certificados do Firefox.

A Mozilla descreve a confiança recomendada no sistema operativo e a importação por política em Set up Certificate Authorities (CAs) in Firefox. O Wiki documenta caminhos e variantes adicionais: Adicionar Certificado Raiz ao Firefox.

Verificar funcionamento

Após a distribuição, deve-se verificar não apenas se o certificado está presente. O crucial é se a Inspeção TLS funciona corretamente.

Testes recomendados:

1. Reinicie o cliente de teste ou faça login novamente no usuário.
2. Abra o navegador e acesse uma página HTTPS que seja descriptografada pelo Sophos Firewall.
3. No navegador, exiba o certificado do site.
4. Verifique se a cadeia de certificados passa por SecurityAppliance_SSL_CA ou pela CA Sophos escolhida.
5. No firewall, verifique em Log Viewer > SSL/TLS inspection se o tráfego é apresentado como desencriptado e que Rule ou ação foi aplicada.
6. Teste aplicativos empresariais importantes, serviços de atualização, ferramentas de colaboração e provedores de identidade.

Se o navegador continuar a apresentar o certificado público original do site, esta ligação não foi desencriptada. Nesse caso, não se aplica nenhuma SSL/TLS Inspection Rule adequada, uma exceção tem prioridade, o tráfego segue outro caminho ou QUIC/HTTP/3 contorna o caminho TCP esperado.

Se o aviso do navegador desaparecer, mas os aplicativos ainda mostrarem erros, o problema geralmente não está no certificado em si. Frequentemente, são o Certificate Pinning, exceções TLS ausentes, um Perfil de Descriptografia incorreto ou uma Regra de Inspeção SSL/TLS inadequada que são a causa.

Para tráfego web, deve-se verificar adicionalmente se o QUIC ou HTTP/3 está contornando a inspeção esperada. O artigo Bloquear corretamente o protocolo QUIC e HTTP/3 no Sophos Firewall explica por que Block QUIC protocol continua relevante para filtragem web, escaneamento de malware e Inspeção TLS.

Erros comuns

• O navegador ainda mostra aviso de certificado: CA não está no Armazenamento de Confiança correto. Verificar armazenamento de certificados Windows/macOS/Firefox.
• Chrome funciona, Firefox não: verificar se o Firefox pode utilizar as Root CAs instaladas adicionalmente no sistema operativo ou se está em vigor uma Mozilla Enterprise Policy separada. Em seguida, reiniciar o Firefox e testar o caminho HTTPS real.
• Aplicativos individuais falham: Certificate Pinning ou verificação de certificado própria. Verificar Log Viewer de Inspeção TLS e exceções.
• Apenas alguns clientes funcionam: GPO não está aplicando ou OU incorreta. Verificar gpresult e vinculação de GPO.
• A CA está instalada, mas o aviso permanece: a CA distribuída pode não corresponder à CA no Decryption Profile, em SSL/TLS inspection settings ou em Web General settings.
• DPI funciona, mas Web Proxy não, ou vice-versa: os dois caminhos podem estar configurados de forma diferente. Verificar a CA selecionada, o caminho da regra e o Log Viewer para cada modo de operação.
• Após regeneração da CA, há avisos: CA antiga ainda nos clientes ou nova CA ausente. Remover CA antiga, distribuir nova CA.
• Feeds de URL ou filtro web não funcionam como esperado: Caminho HTTPS não está sendo descriptografado. Verificar Inspeção TLS e política web.
• Certificado está presente, mas tráfego não é descriptografado: Nenhuma regra de Inspeção SSL/TLS adequada ou caminho DPI/Web-Proxy incorreto. Verificar implementação TLS, regra do firewall e Log Viewer.
• Apenas aplicativos móveis ou clientes individuais falham: Armazenamento de confiança próprio, Certificate Pinning ou verificação específica do aplicativo. Verificar exceção direcionada em vez de desativação global.

Rotação de CA e emergência

Uma CA não deve ser operada sem supervisão por anos, sem que a data de validade, origem e distribuição sejam conhecidas. Para ambientes produtivos, deve haver um pequeno processo de ciclo de vida.

Mudança planejada:

1. Preparar nova CA ou nova CA do firewall.
2. Distribuir nova CA para um grupo de teste.
3. Verificar Inspeção TLS com grupo de teste.
4. Distribuir nova CA para todos os dispositivos gerenciados afetados.
5. Controlar regras do firewall e perfis de descriptografia.
6. Remover CA antiga apenas quando todos os dispositivos produtivos tiverem recebido a nova CA.

Emergência em caso de comprometimento:

1. Restringir ou desativar temporariamente a Inspeção TLS, se necessário.
2. Substituir a CA afetada no firewall.
3. Implementar nova CA através do método de distribuição definido.
4. Remover CA antiga de todos os Armazenamentos de Confiança.
5. Verificar exceções, Log Viewer e aplicativos afetados.
6. Documentar a alteração no sistema de incidentes ou mudanças.

Importante: Uma CA comprometida não é um problema de certificado normal. Se um invasor controlar a chave privada, os clientes podem confiar em certificados falsificados. Nesse caso, a CA antiga deve ser removida de forma consistente.

Operação e manutenção

O certificado CA deve fazer parte do processo operacional:

• Documentar data de validade e responsáveis.
• Realizar regeneração da CA apenas de forma planejada.
• Remover CA antiga dos clientes após a migração.
• Verificar regularmente a distribuição via GPO ou MDM.
• Documentar exceções TLS e revisar periodicamente.
• Regenerar a CA em caso de perda de dispositivo ou comprometimento da CA.

Ao fazer uma alteração na Inspeção TLS, também deve-se verificar as regras do firewall afetadas, perfis de descriptografia e listas de exclusão. Caso contrário, o cliente pode confiar na CA, mas o firewall ainda não descriptografa o tráfego desejado.

FAQ