Introducción
Este documento describe los detalles sobre la actualización de abril de 2017 de los Cisco Trusted Root Bundles y sus efectos en el Cisco Web Security Appliance (WSA).
Antecedentes
En un esfuerzo por mantener la seguridad de nuestros productos al más alto nivel; El equipo de servicios criptográficos de Cisco se complace en anunciar el lanzamiento de la siguiente iteración de los paquetes Cisco Trusted Root. Este cambio afectará a WSA. Los paquetes se actualizarán automáticamente en todas las versiones compatibles de Cisco AsyncOS para Web y no es necesario que los administradores de WSA realicen ninguna acción.
Actualizar descripción
Estos paquetes reflejan las actualizaciones más recientes de los paquetes derivados de los almacenes raíz de confianza ascendentes a fecha de noviembre de 2016.
Los cambios más importantes en Cisco Trusted Root Bundles son:
- De conformidad con la decisión de los principales almacenes de confianza (Google, Apple, Mozilla) de eliminarlos, los nuevos Cisco Trusted Root Bundles ya no contienen raíces de WoSign/StartCom. En caso de que vuelvan a enviar nuevas raíces a los almacenes de raíces ascendentes, revisaremos la decisión de eliminarlas de los paquetes de confianza.
- El nuevo Cisco Root CA 2099 se ha añadido a todos los paquetes para admitir los nuevos chipsets ACT2.
- La antigua raíz VeriSign se ha reemplazado en el conjunto Core por la raíz más reciente que encadena correctamente los certificados mPKI de VeriSign.
- La CA X1 raíz DST se ha eliminado del paquete Core solamente, ya que Cisco ya no emite raíces de esta cadena.
¿Qué significa esto para los usuarios de WSA?
- Cisco WSA descarga nuevos paquetes de certificados raíz que utilizan nuestro proceso de actualización. No es necesario que los administradores de WSA realicen ninguna acción.
- Si WSA está configurado para utilizar el descifrado, las solicitudes dirigidas a sitios que tienen certificados SSL firmados por WoSign/StartCom serán descartadas de forma predeterminada por WSA, ya que WSA no confiará en los certificados de CA raíz de este proveedor después de la actualización.
- Como alternativa, WSA aplicará la acción configurada en Proxy HTTPS > Gestión de certificados no válida > Emisor/Autoridad raíz no reconocida. Esta acción es DROP de forma predeterminada, y Cisco recomienda no cambiar la acción predeterminada Autoridad raíz no reconocida.
Comentarios