ESA Informazioni sugli avvisi di scadenza dei certificati dell'elenco CA personalizzato

Introduzione

Questo documento descrive gli avvisi di scadenza dei certificati delle autorità di certificazione (CA) personalizzate su Cisco Secure Email Gateway (ESA) dopo l'aggiornamento a Async OS 14.x, insieme a una soluzione alternativa.

Componenti usati

Le informazioni fornite in questo documento si basano sull'esecuzione di Async OS 14.0 o versioni successive.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Durante il processo di aggiornamento a Async OS 14.x, i clienti devono confermare se desiderano aggiungere certificati di sistema precedenti all'elenco delle CA personalizzate. Questo è documentato anche nelle note sulla versione 14.0 come mostrato nello screenshot sottostante, le note sulla versione complete sono disponibili qui.

Problema

Dopo l'aggiornamento alla versione 14.x, con il passare del tempo i certificati di sistema meno recenti aggiunti all'elenco personalizzato potrebbero scadere, generando gli avvisi seguenti.

26 giu 2021 11:27:29 -0400 Il vostro certificato "CA:Root CA Generalitat Valenciana" scadrà tra 5 giorni (s).

Questi avvisi indicano la scadenza dei certificati di sistema meno recenti aggiunti all'elenco personalizzato al momento dell'aggiornamento oppure la scadenza di un certificato personalizzato utilizzato in precedenza.

Soluzione

Si noti che gli avvisi relativi ai certificati di sistema meno recenti presenti nell'elenco personalizzato sono puramente informativi ed è possibile scegliere di rimuoverli dall'elenco personalizzato o lasciarli scadere.

Il problema non è correlato al servizio, ma per alcuni è indesiderato ricevere un avviso. 

Se vengono visualizzati avvisi relativi a un certificato CA personalizzato richiesto dall'organizzazione e attualmente non incluso nell'elenco di sistema, è possibile contattare la CA in questione per ottenere un certificato aggiornato e sostituirlo come descritto nelle guide per l'utente finale qui.

Il bundle di certificati CA del sistema viene aggiornato automaticamente dopo l'aggiornamento e periodicamente la scadenza dei certificati nell'elenco personalizzato non influisce sul funzionamento dei certificati nell'elenco di sistema.

Per verificare se l'elenco di sistema e l'elenco personalizzato sono entrambi abilitati, passare a Rete -> Certificati -> Autorità di certificazione: Modifica impostazioni

È inoltre possibile esportare il sistema e gli elenchi personalizzati dallo stesso menu di navigazione o utilizzare i comandi CLI certconfig -> certauthority per rivedere manualmente i certificati in entrambi gli elenchi in base alle esigenze.

Se si desidera rimuovere il certificato che genera gli avvisi nell'elenco delle CA personalizzate, di seguito sono elencati i passaggi che un amministratore può eseguire sull'accessorio utilizzando il protocollo SSH.

Nota: Verificare il nome/la posizione del certificato nell'elenco personalizzato in base all'avviso visualizzato, in quanto potrebbe essere diverso dall'output di esempio riportato di seguito.

example.com> certconfig

Choose the operation you want to perform:
- CERTIFICATE - Import, Create a request, Edit or Remove Certificate Profiles
- CERTAUTHORITY - Manage System and Customized Authorities
- CRL - Manage Certificate Revocation Lists
[]> certauthority

Certificate Authority Summary
Custom List: Enabled
System List: Enabled

Choose the operation you want to perform:
- CUSTOM - Manage Custom Certificate Authorities
- SYSTEM - Manage System Certificate Authorities
[]> custom

Choose the operation you want to perform:
- DISABLE - Disable the custom certificate authorities list
- IMPORT - Import the list of custom certificate authorties
- EXPORT - Export the list of custom certificate authorties
- DELETE - Remove a certificate from the custom certificate authorty list
- PRINT - Print the list of custom certificate authorties
- CHECK_CA_FLAG - Check CA flag in uploaded custom CA certs
[]> delete

You must enter a value from 1 to 104.
1. [AAA Certificate Services]
2. [ANCERT Certificados CGN]
3. [ANCERT Certificados Notariales]
4. [ANCERT Corporaciones de Derecho Publico]
5. [Actalis Authentication Root CA]
6. [Admin-Root-CA]
7. [Agence Nationale de Certification Electronique]
8. [Agence Nationale de Certification Electronique]
9. [America Online Root Certification Authority 1]
10. [America Online Root Certification Authority 2]
11. [Autoridad Certificadora Raiz de la Secretaria de Economia]
12. [Autoridad de Certificacion de la Abogacia]
13. [Baltimore CyberTrust Root]
14. [COMODO Certification Authority]
15. [COMODO RSA Certification Authority]
16. [Certipost E-Trust TOP Root CA]
17. [Certum CA]
18. [Chambers of Commerce Root]
19. [Cisco Root CA 2048]
20. [ComSign Advanced Security CA]
21. [ComSign CA]
22. [ComSign Secured CA]
23. [Cybertrust Global Root]
24. [D-TRUST Root Class 2 CA 2007]
25. [D-TRUST Root Class 3 CA 2007]
26. [DST Root CA X3]
27. [DigiCert Assured ID Root CA]
28. [DigiCert Baltimore CA-2 G2]
29. [DigiCert Global Root CA]
30. [DigiCert Global Root G2]
31. [DigiCert High Assurance EV Root CA]
32. [E-CERT ROOT CA]
33. [Echoworx Root CA2]
34. [Entrust Root Certification Authority - G2]
35. [Entrust Root Certification Authority]
36. [GLOBALTRUST]
37. [GeoTrust Global CA]
38. [GeoTrust Primary Certification Authority - G2]
39. [GeoTrust Primary Certification Authority - G3]
40. [GeoTrust Primary Certification Authority]
41. [GeoTrust RSA CA 2018]
42. [GeoTrust SSL CA - G2]
43. [GeoTrust Universal CA 2]
44. [GeoTrust Universal CA]
45. [Global Chambersign Root]
46. [GlobalSign PersonalSign 2 CA - SHA256 - G3]
47. [GlobalSign Root CA]
48. [GlobalSign]
49. [GlobalSign]
50. [Go Daddy Root Certificate Authority - G2]
51. [Hongkong Post Root CA 1]
52. [HydrantID SSL ICA G2]
53. [InfoNotary CSP Root]
54. [NetLock Minositett Kozjegyzoi (Class QA) Tanusitvanykiado]
55. [Network Solutions Certificate Authority]
56. [OISTE WISeKey Global Root GA CA]
57. [Post. Trust Root CA]
58. [QuoVadis Root CA 2]
59. [Root CA Generalitat Valenciana]                                                     <<<<<<<<<<< Select this one based on sample alert above
60. [S-TRUST Authentication and Encryption Root CA 2005:PN]
61. [SSC Root CA A]
62. [SSC Root CA B]
63. [SSC Root CA C]
64. [Secure Global CA]
65. [SecureTrust CA]
66. [Serasa Certificate Authority III]
67. [Serasa Certificate Authority II]
68. [Serasa Certificate Authority I]
69. [Starfield Services Root Certificate Authority]
70. [SwissSign Gold CA - G2]
71. [SwissSign Platinum CA - G2]
72. [SwissSign Silver CA - G2]
73. [Swisscom Root CA 1]
74. [TC TrustCenter Class 2 CA II]
75. [TC TrustCenter Class 3 CA II]
76. [TC TrustCenter Class 4 CA II]
77. [TC TrustCenter Universal CA II]
78. [TC TrustCenter Universal CA I]
79. [TDC OCES CA]
80. [Trusted Certificate Services]
81. [UCA Global Root]
82. [UCA Root]
83. [USERTrust RSA Certification Authority]
84. [VAS Latvijas Pasts SSI(RCA)]
85. [VRK Gov. Root CA]
86. [VeriSign Class 3 Public Primary Certification Authority - G5]
87. [VeriSign Universal Root Certification Authority]
88. [Visa Information Delivery Root CA]
89. [Visa eCommerce Root]
90. [WellsSecure Public Root Certificate Authority]
91. [XRamp Global Certification Authority]
92. [thawte Primary Root CA - G3]
93. [thawte Primary Root CA]

Select the custom ca certificate you wish to delete
[]> 59

Are you sure you want to delete "Root CA Generalitat Valenciana"? [N]> Y
Custom ca certificate "Root CA Generalitat Valenciana" removed

Choose the operation you want to perform:
- DISABLE - Disable the custom certificate authorities list
- IMPORT - Import the list of custom certificate authorties
- EXPORT - Export the list of custom certificate authorties
- DELETE - Remove a certificate from the custom certificate authorty list
- PRINT - Print the list of custom certificate authorties
- CHECK_CA_FLAG - Check CA flag in uploaded custom CA certs
[]> [ENTER]

Certificate Authority Summary
Custom List: Enabled
System List: Enabled
Choose the operation you want to perform:
- CUSTOM - Manage Custom Certificate Authorities
- SYSTEM - Manage System Certificate Authorities
[]> [ENTER]

Choose the operation you want to perform:
- CERTIFICATE - Import, Create a request, Edit or Remove Certificate Profiles
- CERTAUTHORITY - Manage System and Customized Authorities
- CRL - Manage Certificate Revocation Lists
[]> [ENTER]

example.com> commit

Please be sure to commit the change at the end.

Informazioni correlate 

• Note sulla release di Cisco Secure Email Gateway
• Guide per l'utente finale di Cisco Secure Email Gateway