Entender a Expiração do Certificado do Proxy do Umbrella

Introdução

Este documento descreve por que a expiração de certificados do proxy do Cisco Umbrella está dentro de dias da data atual.

Pré-requisitos

Requisitos

Não existem requisitos específicos para este documento.

Componentes Utilizados

As informações neste documento são baseadas no Cisco Umbrella Secure Internet Gateway (SIG).

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Overview

Quando um proxy da Web do Cisco Umbrella é configurado para descriptografar a comunicação HTTPS, a data e a hora de expiração dos certificados recebidos do proxy geralmente podem estar dentro de dez dias da data e hora atuais. Este é um recurso de segurança e não requer nenhuma ação do usuário final. A renovação é automática.

Tempo de Vida do Certificado com Descriptografia de Proxy

Quando os clientes da Web enviam comunicações HTTPS (solicitações HTTP criptografadas com TLS) através do proxy do Umbrella Secure Web Gateway (SWG) ou do Intelligent Proxy (IP), e o proxy é configurado para descriptografar a comunicação HTTPS, o proxy regrava o certificado folha pertencente ao servidor e substitui todos os certificados intermediários também enviados pelo servidor com certificados intermediários da Cisco. Essa substituição de cadeia de certificados é a técnica padrão pela qual os proxies da Web realizam a descriptografia de solicitações e respostas criptografadas em TLS.

Os novos certificados folha e intermediário são criados dinamicamente. Ao exibir as datas Não Antes e Não Depois nos certificados, geralmente os certificados podem ser emitidos com períodos de vida curtos não superiores a dez dias, como uma medida de segurança aprimorada. A renovação é automática, não exigindo nenhuma ação do usuário final.

Por exemplo, nessas imagens recuperadas em 8 de abril de 2023, o certificado de folha de example.com tem uma data Validade Não Após de 11 de abril de 2023 (3 dias de validade restantes).

14723937288724

Da mesma forma, o primeiro certificado intermediário da cadeia, o certificado Cisco Umbrella Secondary SubCA , tem uma data de validade Not After (expiração) de 17 de abril de 2023. 

14724083385492

As datas Not Before e Not After dos certificados na cadeia geralmente não são idênticas, pois os tempos de criação variam dependendo da recuperação de cada certificado em todos os usuários da instância de proxy.

A emissão de certificados de curta duração não se aplica a:

• O certificado raiz da CA raiz do Cisco Umbrella (visto ao usar a configuração padrão)
• O certificado intermediário da CA do cliente do Cisco Umbrella (visto ao usar Certificados assinados da CA do cliente)

Em qualquer configuração, os certificados mencionados acima podem ter períodos de validade mais longos.