Contenido

Introducción

Antecedentes

Actualizar descripción

¿Qué significa esto para los usuarios de WSA?

Introducción

Este documento describe los detalles sobre la actualización de abril de 2017 de los Cisco Trusted Root Bundles y sus efectos en el Cisco Web Security Appliance (WSA).

Antecedentes

En un esfuerzo por mantener la seguridad de nuestros productos al más alto nivel; El equipo de servicios criptográficos de Cisco se complace en anunciar el lanzamiento de la siguiente iteración de los paquetes Cisco Trusted Root. Este cambio afectará a WSA. Los paquetes se actualizarán automáticamente en todas las versiones compatibles de Cisco AsyncOS para Web y no es necesario que los administradores de WSA realicen ninguna acción.

Actualizar descripción

Estos paquetes reflejan las actualizaciones más recientes de los paquetes derivados de los almacenes raíz de confianza ascendentes a fecha de noviembre de 2016.

Los cambios más importantes en Cisco Trusted Root Bundles son:

- De conformidad con la decisión de los principales almacenes de confianza (Google, Apple, Mozilla) de eliminarlos, los nuevos Cisco Trusted Root Bundles ya no contienen raíces de WoSign/StartCom. En caso de que vuelvan a enviar nuevas raíces a los almacenes de raíces ascendentes, revisaremos la decisión de eliminarlas de los paquetes de confianza.

- El nuevo Cisco Root CA 2099 se ha añadido a todos los paquetes para admitir los nuevos chipsets ACT2.

- La antigua raíz VeriSign se ha reemplazado en el conjunto Core por la raíz más reciente que encadena correctamente los certificados mPKI de VeriSign.

- La CA X1 raíz DST se ha eliminado del paquete Core solamente, ya que Cisco ya no emite raíces de esta cadena.

¿Qué significa esto para los usuarios de WSA?

- Cisco WSA descarga nuevos paquetes de certificados raíz que utilizan nuestro proceso de actualización. No es necesario que los administradores de WSA realicen ninguna acción.

- Si WSA está configurado para utilizar el descifrado, las solicitudes dirigidas a sitios que tienen certificados SSL firmados por WoSign/StartCom serán descartadas de forma predeterminada por WSA, ya que WSA no confiará en los certificados de CA raíz de este proveedor después de la actualización.

- Como alternativa, WSA aplicará la acción configurada en Proxy HTTPS > Gestión de certificados no válida > Emisor/Autoridad raíz no reconocida. Esta acción es DROP de forma predeterminada, y Cisco recomienda no cambiar la acción predeterminada Autoridad raíz no reconocida.