In dem Dokumentationssatz für dieses Produkt wird die Verwendung inklusiver Sprache angestrebt. Für die Zwecke dieses Dokumentationssatzes wird Sprache als „inklusiv“ verstanden, wenn sie keine Diskriminierung aufgrund von Alter, körperlicher und/oder geistiger Behinderung, Geschlechtszugehörigkeit und -identität, ethnischer Identität, sexueller Orientierung, sozioökonomischem Status und Intersektionalität impliziert. Dennoch können in der Dokumentation stilistische Abweichungen von diesem Bemühen auftreten, wenn Text verwendet wird, der in Benutzeroberflächen der Produktsoftware fest codiert ist, auf RFP-Dokumentation basiert oder von einem genannten Drittanbieterprodukt verwendet wird. Hier erfahren Sie mehr darüber, wie Cisco inklusive Sprache verwendet.
Cisco hat dieses Dokument maschinell übersetzen und von einem menschlichen Übersetzer editieren und korrigieren lassen, um unseren Benutzern auf der ganzen Welt Support-Inhalte in ihrer eigenen Sprache zu bieten. Bitte beachten Sie, dass selbst die beste maschinelle Übersetzung nicht so genau ist wie eine von einem professionellen Übersetzer angefertigte. Cisco Systems, Inc. übernimmt keine Haftung für die Richtigkeit dieser Übersetzungen und empfiehlt, immer das englische Originaldokument (siehe bereitgestellter Link) heranzuziehen.
In diesem Dokument werden die Auswirkungen auf ISE-Services aufgrund bevorstehender Änderungen an TLS-Zertifikaten beschrieben, die von öffentlichen Zertifizierungsstellen mit der Clientauthentifizierungs-EKU ausgestellt wurden.
Digitale Zertifikate sind von vertrauenswürdigen Zertifizierungsstellen (Certificate Authorities, CAs) ausgestellte elektronische Zertifikate, die die Kommunikation zwischen Servern und Clients durch die Gewährleistung von Authentifizierung, Datenintegrität und Vertraulichkeit schützen. Diese Zertifikate enthalten Extended Key Usage (EKU)-Felder, die ihren Zweck definieren:
Bisher konnte ein einzelnes Zertifikat sowohl Server- als auch Clientauthentifizierungs-EKUs enthalten, sodass es für zwei Zwecke verwendet werden konnte. Dies ist besonders wichtig für Produkte wie die Cisco ISE, die in verschiedenen Verbindungsszenarien sowohl als Server als auch als Client fungieren.
Ab Mai 2026 stellen viele öffentliche Zertifizierungsstellen keine Transport Layer Security (TLS)-Zertifikate mehr aus, die die erweiterte Clientauthentifizierungsschlüsselverwendung (EKU) enthalten. Neu ausgestellte Zertifikate enthalten in der Regel nur die Serverauthentifizierungs-EKU.
Anmerkung: Diese Richtlinie gilt nur für Zertifikate, die von öffentlichen Zertifizierungsstellen ausgestellt wurden. Private PKI und selbstsignierte Zertifikate sind von dieser Richtlinie nicht betroffen.
Alle Cisco ISE-Versionen sind betroffen:
Anmerkung: Cisco ISE 2.x ist ebenfalls betroffen. Es ist jedoch keine Korrektur geplant, da diese Versionen das End of Life (EOL) erreicht haben.
Die ISE fungiert in verschiedenen Verbindungsszenarien sowohl als Server als auch als Client und erfordert Zertifikate mit EKUs für die Server- und Clientauthentifizierung.
Cisco ISE als Server (EKU für die Serverauthentifizierung erforderlich):
Cisco ISE als Client (Client-Authentifizierungs-EKU erforderlich):
In der folgenden Tabelle sind die Cisco ISE-Services zusammengefasst, die von den bevorstehenden EKU-Änderungen an der Clientauthentifizierungs-EKU betroffen sein könnten. Außerdem werden die erwarteten Auswirkungen für die einzelnen Services aufgeführt.
|
Service |
Auswirkungen |
|
pxGrid |
pxGrid-Zertifikate werden für die Kommunikation zwischen ISE-Knoten und externen pxGrid-Integrationen verwendet. Während externe pxGrid-Integrationen nur Server-Authentifizierungs-EKU erfordern, erfordert die Cisco ISE derzeit importierte pxGrid-Zertifikate, die aufgrund einer Benutzeroberflächenbeschränkung sowohl Server-Authentifizierungs-EKU als auch Client-Authentifizierungs-EKU enthalten müssen. Daher werden von öffentlichen Zertifizierungsstellen ausgestellte pxGrid-Zertifikate in der Regel mit beiden EKUs bereitgestellt. |
|
ISE Messaging Service (IMS) |
IMS wird für die Backend-Kommunikation zwischen internen ISE-Services verwendet. Für die Cisco ISE müssen IMS-Zertifikate derzeit sowohl die Serverauthentifizierungs-EKU als auch die Clientauthentifizierungs-EKU enthalten. Von einer öffentlichen Zertifizierungsstelle mit Serverauthentifizierungs-EKU verlängerte Zertifikate können nur für IMS nicht verwendet werden. Dies kann zu Fehlern bei der internen ISE-Kommunikation führen. |
|
TC-NAC |
Wenn das Admin-Zertifikat nur die Serverauthentifizierungs-EKU enthält, kann die zertifikatbasierte Authentifizierung für TC-NAC beeinträchtigt werden, wenn der FIPS-Modus aktiviert ist oder wenn Tenable mit mTLS konfiguriert ist (Einführung in die ISE-Versionen 3.4P3 und 3.5). |
|
Sicheres Syslog |
|
|
LDAP |
|
|
RADIUS-DTLS |
Vorsicht: Kunden sollten den Zertifikatstyp überprüfen, der von allen externen pxGrid-Clients verwendet wird. Nach der Verlängerung dürfen von öffentlichen Zertifizierungsstellen signierte Zertifikate keine Clientauthentifizierungs-EKU mehr enthalten. Externe pxGrid-Client-Integrationen müssen bei der Kommunikation mit der ISE die Client-Authentifizierungs-EKU enthalten oder die Verbindung wird abgelehnt.
Nach der Bereitstellung von Server Authentication, EKU Only-Zertifikaten in der Cisco ISE beobachten Kunden beim Hochladen von pxGrid- oder ISE Messaging Service (IMS)-Zertifikaten, die nicht den aktuellen EKU-Anforderungen (Extended Key Usage) für den ausgewählten Dienst entsprechen, Fehler beim Importieren von Zertifikaten in die Cisco ISE-GUI.
Ein Beispiel für die in der GUI angezeigte Fehlermeldung ist unten dargestellt.
Die nachfolgende Tabelle enthält empfohlene Aktionen für Cisco ISE-Services und -Integrationen, die auf Zertifikaten basieren, die die EKU für die Client-Authentifizierung enthalten.
|
Service |
Empfehlungen für Maßnahmen |
|
TC-NAC |
|
|
Sicheres Syslog |
|
|
LDAP |
|
|
RADIUS-DTLS |
|
|
PxGrid Clients (CatC, FMC...etc) |
|
|
EAP-TLS |
Administratoren können aus einer der folgenden Workaround-Optionen wählen:
Einige Public Root-CAs (wie DigiCert und IdenTrust) stellen Zertifikate mit kombinierter EKU von einem alternativen Root aus aus aus, die nicht in den Chrome-Browser-Vertrauensspeicher aufgenommen werden können.
Beispiele für öffentliche Stammzertifizierungsstellen und EKU-Typen:
|
CA-Anbieter |
EKU-Typ |
Stamm-CA |
Issuing/Sub-CA |
|
IdenTrust |
clientAuth + serverAuth |
IdenTrust Stammzertifizierungsstelle für den öffentlichen Sektor 1 |
IdenTrust Public Sector Server CA 1 |
|
DigiCert |
clientAuth + serverAuth |
DigiCert Assured ID Root G2 |
DigiCert Assured ID CA G2 |
Voraussetzungen für diesen Ansatz:
Verweise auf die Zertifikatsverwaltung:
Zertifikate, die von öffentlichen Stammzertifizierungsstellen vor Mai 2026 ausgestellt wurden und über eine EKU für die Server- und Clientauthentifizierung verfügen, werden bis zum Ablauf ihrer Laufzeit weiterhin anerkannt.
Allgemeine Empfehlungen:
Kunden sollten ein Upgrade der Cisco ISE auf eine Patch-Version durchführen, die eine aktualisierte Zertifikatbehandlung zur Unterstützung von Zertifikaten ermöglicht, die im Rahmen der neuen Zertifizierungsstellenrichtlinien ausgestellt wurden.
Die folgenden Patch-Versionen beheben dieses Problem, das für April 2026 geplant ist:
|
Cisco ISE-Version |
Patch-Version |
|
ISE 3.1 |
Patch 11 |
|
ISE 3.2 |
Patch 10 |
|
ISE 3.3 |
Patch 11 |
|
ISE 3.4 |
Patch 6 |
|
ISE 3.5 |
Patch 3 |
Nach der Installation der Patch-Version:
Für ISE 3.1, 3.2 und 3.3
Das Verhalten nach der Installation des Patches wird nicht geändert. Der ISE Messaging Service benötigt weiterhin ein Zertifikat mit der Client- und Server-EKU. Kunden sollten die Verwendung eines internen ISE-Zertifizierungsstellenzertifikats planen, sobald das aktuelle Zertifikat abläuft.
Für ISE 3.4 und 3.5
IMS unterstützt jetzt öffentliche Zertifizierungsstellenzertifikate, die nur die Serverauthentifizierungs-EKU enthalten. Da IMS jedoch nur für die interne Cisco ISE-Kommunikation verwendet wird, empfiehlt Cisco, bei einer Erneuerung des Zertifikats das ISE Internal CA-Zertifikat zu verwenden.
START: Verwenden Sie auf der Cisco ISE Zertifikate für öffentliche Zertifizierungsstellen?
│
├─ NEIN: Private PKI oder selbstsigniert
│ └─ Keine Aktion erforderlich - Nicht von Richtlinie betroffen
│
└─ JA: Verwendete öffentliche Zertifizierungsstellenzertifikate
│
├─ Werden sie für einen der Services verwendet, die im Abschnitt "Spezifische betroffene Anwendungsfälle" genannt werden?
│ │
│ ├─ Services, wenn ISE als TLS-Client fungiert
│ │ └─ Lesen Sie den Abschnitt "Vorschläge für Services, die Client-EKU erfordern".
│ │
│ └─ Services, wenn ISE als TLS-Server (PxGrid ODER IMS) agiert
│ │
│ └─ Wählen Sie IHREN Ansatz:
│ │
│ ├─ Option A: Zu alternativer Root-CA wechseln
│ │ ├─ CA-Anbieter für kombinierte EKU von alternativer Root kontaktieren
│ │ ├─ Stellen Sie sicher, dass alle Peers dem neuen Root vertrauen
│ │ └─ Sofortiges Software-Upgrade nicht erforderlich
│ │
│ ├─ Option B: Verlängerung von Zertifikaten vor Ablauf der Frist
│ │ ├─ So können Sie die Dringlichkeit von Patches für die Cisco ISE reduzieren
│ │ │
│ │ ├─ Maximale Gültigkeit: Verlängern Sie Ihren Vertrag vor dem 15. März 2026
│ │ └─ Kaufzeit bis zum Ablauf des Zertifikats
│ │
│ ├─ Option C: Migration zu privater PKI
│ │ ├─ Einrichtung einer privaten Zertifizierungsstelleninfrastruktur
│ │ ├─ Gemeinsame EKU-Zertifikate ausstellen
│ │ ├─ Installieren der neuen Zertifizierungsstelle im vertrauenswürdigen ISE-Store
│ │ └─ Langzeitkontrolle
│ │
│ └─ Option D: Software-Upgrade planen
│ ├─ Anwenden der erforderlichen ISE-Patch-Version (verfügbar ab April 2026)
F: Muss ich mir darüber Gedanken machen, wenn ich eine private PKI verwende?
A : Nein. Diese Richtlinie wirkt sich nur auf Zertifikate aus, die von öffentlichen Stammzertifizierungsstellen ausgestellt wurden. Private PKI und selbstsignierte Zertifikate sind nicht betroffen.
F: Kann ich meine vorhandenen Zertifikate weiterhin verwenden?
A : Ja, vorhandene Zertifikate mit kombinierter EKU bleiben bis zu ihrem Ablauf gültig. Das Problem tritt auf, wenn eine Verlängerung erforderlich ist. Sie funktionieren sowohl für TLS- als auch für mTLS-Verbindungen bis zum Ablauf.
F: Woher weiß ich, ob ich mTLS oder Standard-TLS verwende?
A : Lesen Sie den Abschnitt "Spezifische betroffene Anwendungsfälle".
F: Was passiert am 15. Juni 2026?
A : Chrome beendet das Vertrauen in öffentliche TLS-Zertifikate, die sowohl Server- als auch Clientauthentifizierungs-EKUs enthalten. Dienste, die solche Zertifikate verwenden, können fehlschlagen.
F: Warum muss ich die Lizenz vor dem 15. März 2026 verlängern?
A : Nach dem 15. März 2026 verkürzt sich die Gültigkeitsdauer der Zertifikate von 398 auf 200 Tage. Wenn Sie das Zertifikat vor diesem Datum verlängern, haben Sie die maximale Lebensdauer.
Frage: Bis zu welchem Termin müssen Maßnahmen ergriffen werden?
A : Es gibt mehrere Fristen:
Die Einstellung der EKU für die Client-Authentifizierung in öffentlichen Zertifizierungsstellenzertifikaten stellt eine erhebliche Änderung der Sicherheitsrichtlinien dar, die sich auf Cisco ISE-Bereitstellungen mit mTLS-Verbindungen auswirkt. Obwohl es sich hierbei um eine branchenweite Änderung handelt, ist die Auswirkungsstufe KRITISCH, und es sind sofortige Maßnahmen erforderlich, um Serviceunterbrechungen zu verhindern.
| Überarbeitung | Veröffentlichungsdatum | Kommentare |
|---|---|---|
1.0 |
12-Mar-2026
|
Erstveröffentlichung |
Feedback