Que faire sur Expressway sur DST Root CA X3 Expiration du certificat le 30 septembre 2021

Introduction

Ce document décrit comment remplacer DST Root CA X3 qui doit expirer le 30 septembre 2021. Cela signifie que les périphériques plus anciens qui ne font pas confiance à IdenTrust DST Root CA X3 commenceront à recevoir des avertissements de certificat et les négociations TLS seront interrompues.Le 30 septembre 2021, il y aura un changement dans la façon dont les anciens logiciels et périphériques font confiance aux certificats Encrypt.

Components Used

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

• Cisco Expressway x12.6

Informations générales

• Les certificats d'autorité de certification cosignés sont utilisés par les nouvelles autorités de certification publiques, afin que les périphériques existants puissent faire confiance à leurs certificats via un certificat d'autorité de certification existant généralement disponible.
• Lorsque le certificat d’autorité de certification ” ISRG Root X1 a été émis pour la première fois en juin 2015, la plupart des périphériques n’avaient pas encore ce certificat dans leur magasin de fiducie, de sorte qu’ils avaient leur certificat d’autorité de certification “ ISRG Root X1 ” cosigné par le certificat d’autorité de certification “ DST Root CA X3, qui était en circulation depuis le 30 septembre 20000.
• Maintenant que la plupart des périphériques doivent faire confiance au certificat d'autorité de certification racine “ ISRG Root X1 ” racine, nous devons être en mesure de mettre à jour facilement la chaîne d'autorité de certification sans avoir besoin de régénérer le certificat du serveur.

- Par exemple, Cisco n'a pas ajouté le certificat d'autorité de certification ” autosigné ISRG Root X1 “ à notre bundle de magasin d'approbation d'intersection avant août 2019, mais la plupart de nos périphériques plus anciens pouvaient encore facilement faire confiance aux certificats émis par le certificat d'autorité de certification ” racine X1 “ ISRG signé croisé car ils faisaient tous confiance au certificat d'autorité de certification racine X3 racine “ DST Root X3.

• Ceci est important car les téléphones IP et le logiciel CE Endpoints ne disposeront probablement pas du certificat CA ” autosigné “ ISRG Root X1 dans leur magasin de confiance intégré. Nous voulons donc nous assurer que les téléphones IP sont sur 12.7+ et que les terminaux CE sont sur CE9.8.2+ ou CE9.9.0+ afin de nous assurer qu'ils font confiance au certificat CA racine “ ISRG Root X1 ”. .. Liens de référence ci-dessous

https://www.cisco.com/c/dam/en/us/td/docs/voice_ip_comm/cuipph/all_models/ca-list/CA-Trust-List.pdf

https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/dx/series/admin/1024/DX00_BK_C12F3FF5_00_cisco-dx-series-ag1024/DX00_BK_C12F3FF5_00_cisco-dx-series-ag1024_appendix_01111.html

Problème

La racine « IdenTrust DST Root CA X3 » expirant le 30/09/2021, qui doit être remplacée par « IdenTrust Commercial Root CA 1 »

CA racine expirant le 30 septembre 2021

Solution

Supprimer l’ancienne autorité de certification racine Acme du magasin de confiance Expressway E et mettre à jour les derniers certificats racine

Télécharger les liens : (copier-coller)

https://letsencrypt.org/certs/isrgrootx1.pem

https://letsencrypt.org/certs/lets-encrypt-r3.pem

Pour être plus sûr, assurez-vous que le navigateur est mis à jour

Comment mettre à jour le certificat racine sur les serveurs Expressway

Naviguez jusqu’à Maintenance > Security > Trusted CA certificate.

Cliquez sur Parcourir et choisissez le certificat téléchargé (mentionné ci-dessus dans ce document).

Cliquez sur Ajouter un certificat CA après avoir choisi le fichier

Valider après la mise à jour des certificats dans le magasin d'approbation.