ESA Entendendo alertas de expiração de certificado de lista de CA personalizada

Introduction

Este documento descreve os alertas de Expiração de Certificado da Autoridade de Certificação (CA - Custom Certificate Authority) em um Cisco Secure Email Gateway (ESA - Cisco Secure Email Gateway) após a atualização para Async OS 14.x, juntamente com uma solução alternativa.

Componentes Utilizados

As informações neste documento são baseadas no ESA executando o Async OS 14.0 ou superior.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

Durante o processo de atualização para o Async OS 14.x, os clientes devem confirmar se desejam anexar certificados de sistema mais antigos à lista de CAs personalizadas. Isso também está documentado nas notas de versão 14.0, conforme mostrado na imagem abaixo. Notas de versão completas estão disponíveis aqui.

Problema

Depois de atualizar para 14.x, com o tempo, os certificados de sistema mais antigos anexados à lista personalizada podem expirar, resultando em alertas como o abaixo.

26 junho 2021 11:27:29 -0400 O seu certificado "CA:Root CA Generalitat Valenciana" expirará em 5 dias (s).

Esses alertas são indicativos de certificados de sistema mais antigos expirando que foram anexados à lista personalizada no momento da atualização ou de um certificado personalizado usado anteriormente próximo ao vencimento.

Solução

Lembre-se de que os alertas para certificados de sistema mais antigos na lista personalizada são informativos e você pode optar por removê-los da lista personalizada ou deixá-los expirar.

Ela não está afetando o serviço, mas para receber algum alerta indesejável. 

Se vir alertas para um certificado de AC personalizado que é exigido pela sua Organização e não faz parte da lista do sistema, poderá contactar a AC em questão para obter um certificado atualizado e substituí-lo como descrito nos guias do utilizador final aqui.

O pacote de certificados CA do sistema é atualizado automaticamente após a atualização e periodicamente, a expiração dos certificados na lista personalizada não afeta o funcionamento dos certificados na lista do sistema.

Para validar se a lista do sistema e a lista personalizada estão ativadas, navegue para Rede -> Certificados -> Autoridades de certificado: Editar configurações

Você também pode exportar o sistema e as listas personalizadas do mesmo menu de navegação ou usar os comandos certconfig -> da CLI para revisar manualmente os certificados em ambas as listas, conforme necessário.

Se desejar remover os alertas de geração de certificado na lista de CA personalizada, abaixo estão as etapas que podem ser executadas por um administrador usando SSH para o dispositivo.

Note: Verifique o nome/posição do certificado na lista personalizada com base no alerta visto como ele pode ser diferente da saída de exemplo mostrada abaixo.

example.com> certconfig

Choose the operation you want to perform:
- CERTIFICATE - Import, Create a request, Edit or Remove Certificate Profiles
- CERTAUTHORITY - Manage System and Customized Authorities
- CRL - Manage Certificate Revocation Lists
[]> certauthority

Certificate Authority Summary
Custom List: Enabled
System List: Enabled

Choose the operation you want to perform:
- CUSTOM - Manage Custom Certificate Authorities
- SYSTEM - Manage System Certificate Authorities
[]> custom

Choose the operation you want to perform:
- DISABLE - Disable the custom certificate authorities list
- IMPORT - Import the list of custom certificate authorties
- EXPORT - Export the list of custom certificate authorties
- DELETE - Remove a certificate from the custom certificate authorty list
- PRINT - Print the list of custom certificate authorties
- CHECK_CA_FLAG - Check CA flag in uploaded custom CA certs
[]> delete

You must enter a value from 1 to 104.
1. [AAA Certificate Services]
2. [ANCERT Certificados CGN]
3. [ANCERT Certificados Notariales]
4. [ANCERT Corporaciones de Derecho Publico]
5. [Actalis Authentication Root CA]
6. [Admin-Root-CA]
7. [Agence Nationale de Certification Electronique]
8. [Agence Nationale de Certification Electronique]
9. [America Online Root Certification Authority 1]
10. [America Online Root Certification Authority 2]
11. [Autoridad Certificadora Raiz de la Secretaria de Economia]
12. [Autoridad de Certificacion de la Abogacia]
13. [Baltimore CyberTrust Root]
14. [COMODO Certification Authority]
15. [COMODO RSA Certification Authority]
16. [Certipost E-Trust TOP Root CA]
17. [Certum CA]
18. [Chambers of Commerce Root]
19. [Cisco Root CA 2048]
20. [ComSign Advanced Security CA]
21. [ComSign CA]
22. [ComSign Secured CA]
23. [Cybertrust Global Root]
24. [D-TRUST Root Class 2 CA 2007]
25. [D-TRUST Root Class 3 CA 2007]
26. [DST Root CA X3]
27. [DigiCert Assured ID Root CA]
28. [DigiCert Baltimore CA-2 G2]
29. [DigiCert Global Root CA]
30. [DigiCert Global Root G2]
31. [DigiCert High Assurance EV Root CA]
32. [E-CERT ROOT CA]
33. [Echoworx Root CA2]
34. [Entrust Root Certification Authority - G2]
35. [Entrust Root Certification Authority]
36. [GLOBALTRUST]
37. [GeoTrust Global CA]
38. [GeoTrust Primary Certification Authority - G2]
39. [GeoTrust Primary Certification Authority - G3]
40. [GeoTrust Primary Certification Authority]
41. [GeoTrust RSA CA 2018]
42. [GeoTrust SSL CA - G2]
43. [GeoTrust Universal CA 2]
44. [GeoTrust Universal CA]
45. [Global Chambersign Root]
46. [GlobalSign PersonalSign 2 CA - SHA256 - G3]
47. [GlobalSign Root CA]
48. [GlobalSign]
49. [GlobalSign]
50. [Go Daddy Root Certificate Authority - G2]
51. [Hongkong Post Root CA 1]
52. [HydrantID SSL ICA G2]
53. [InfoNotary CSP Root]
54. [NetLock Minositett Kozjegyzoi (Class QA) Tanusitvanykiado]
55. [Network Solutions Certificate Authority]
56. [OISTE WISeKey Global Root GA CA]
57. [Post. Trust Root CA]
58. [QuoVadis Root CA 2]
59. [Root CA Generalitat Valenciana]                                                     <<<<<<<<<<< Select this one based on sample alert above
60. [S-TRUST Authentication and Encryption Root CA 2005:PN]
61. [SSC Root CA A]
62. [SSC Root CA B]
63. [SSC Root CA C]
64. [Secure Global CA]
65. [SecureTrust CA]
66. [Serasa Certificate Authority III]
67. [Serasa Certificate Authority II]
68. [Serasa Certificate Authority I]
69. [Starfield Services Root Certificate Authority]
70. [SwissSign Gold CA - G2]
71. [SwissSign Platinum CA - G2]
72. [SwissSign Silver CA - G2]
73. [Swisscom Root CA 1]
74. [TC TrustCenter Class 2 CA II]
75. [TC TrustCenter Class 3 CA II]
76. [TC TrustCenter Class 4 CA II]
77. [TC TrustCenter Universal CA II]
78. [TC TrustCenter Universal CA I]
79. [TDC OCES CA]
80. [Trusted Certificate Services]
81. [UCA Global Root]
82. [UCA Root]
83. [USERTrust RSA Certification Authority]
84. [VAS Latvijas Pasts SSI(RCA)]
85. [VRK Gov. Root CA]
86. [VeriSign Class 3 Public Primary Certification Authority - G5]
87. [VeriSign Universal Root Certification Authority]
88. [Visa Information Delivery Root CA]
89. [Visa eCommerce Root]
90. [WellsSecure Public Root Certificate Authority]
91. [XRamp Global Certification Authority]
92. [thawte Primary Root CA - G3]
93. [thawte Primary Root CA]

Select the custom ca certificate you wish to delete
[]> 59

Are you sure you want to delete "Root CA Generalitat Valenciana"? [N]> Y
Custom ca certificate "Root CA Generalitat Valenciana" removed

Choose the operation you want to perform:
- DISABLE - Disable the custom certificate authorities list
- IMPORT - Import the list of custom certificate authorties
- EXPORT - Export the list of custom certificate authorties
- DELETE - Remove a certificate from the custom certificate authorty list
- PRINT - Print the list of custom certificate authorties
- CHECK_CA_FLAG - Check CA flag in uploaded custom CA certs
[]> [ENTER]

Certificate Authority Summary
Custom List: Enabled
System List: Enabled
Choose the operation you want to perform:
- CUSTOM - Manage Custom Certificate Authorities
- SYSTEM - Manage System Certificate Authorities
[]> [ENTER]

Choose the operation you want to perform:
- CERTIFICATE - Import, Create a request, Edit or Remove Certificate Profiles
- CERTAUTHORITY - Manage System and Customized Authorities
- CRL - Manage Certificate Revocation Lists
[]> [ENTER]

example.com> commit

Please be sure to commit the change at the end.

Informações Relacionadas 

• Notas da versão do Cisco Secure Email Gateway
• Guias do usuário final do Cisco Secure Email Gateway