Comprender el vencimiento del certificado de proxy de Umbrella

Introducción

Este documento describe por qué la caducidad de los certificados del proxy de Cisco Umbrella se produce en un plazo de días a partir de la fecha actual.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

La información de este documento se basa en Cisco Umbrella Secure Internet Gateway (SIG).

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Overview

Cuando se configura un proxy web de Cisco Umbrella para el descifrado de la comunicación HTTPS, la fecha y hora de vencimiento de los certificados recibidos del proxy pueden ser normalmente dentro de los diez días siguientes a la fecha y hora actuales. Se trata de una función de seguridad y no requiere ninguna acción por parte del usuario final. La renovación es automática.

Vigencia del certificado con descifrado de proxy

Cuando los clientes web envían comunicaciones HTTPS (solicitudes HTTP cifradas con TLS) a través del proxy Umbrella Secure Web Gateway (SWG) o el proxy inteligente (IP), y el proxy se configura para descifrar comunicaciones HTTPS, el proxy vuelve a escribir el certificado de hoja que pertenece al servidor y sustituye cualquier certificado intermedio que también envíe el servidor por certificados intermedios de Cisco. Esta sustitución de la cadena de certificados es la técnica estándar mediante la cual los proxies web realizan el descifrado de las solicitudes y respuestas cifradas en TLS.

Los nuevos certificados intermedios y de hoja se crean dinámicamente. Al ver las fechas Not Before y Not After en los certificados, normalmente los certificados se pueden emitir con una vida útil corta de no más de diez días, como medida de seguridad mejorada. La renovación es automática y no requiere ninguna acción por parte del usuario final.

Por ejemplo, en estas imágenes recuperadas el 8 de abril de 2023, el certificado de hoja de example.com tiene una fecha de validez No después del 11 de abril de 2023 (quedan 3 días de validez).

14723937288724

De manera similar, el primer certificado intermedio de la cadena, el certificado Cisco Umbrella Secondary SubCA, tiene una fecha de Validez No Después (vencimiento) del 17 de abril de 2023. 

14724083385492

Las fechas Not Before y Not After de los certificados de la cadena no suelen ser idénticas, ya que los tiempos de creación varían en función de la recuperación de cada certificado entre todos los usuarios de la instancia de proxy.

La emisión de certificados de corta duración no se aplica a:

• El certificado raíz de la CA raíz de Cisco Umbrella (se ve cuando se utiliza la configuración predeterminada)
• El certificado intermedio de la CA de Cisco Umbrella Customers (se observa cuando se utilizan los certificados firmados de la CA del cliente)

En cualquiera de las configuraciones, los certificados mencionados pueden tener períodos de validez más largos.