Introduction
Este documento descreve detalhes sobre a atualização de abril de 2017 dos pacotes raiz confiáveis da Cisco e seus efeitos no Cisco Web Security Appliance (WSA).
Informações de Apoio
Em um esforço para manter a segurança de nossos produtos ao mais alto nível; A equipe de serviços criptográficos da Cisco tem o prazer de anunciar o lançamento da próxima iteração dos pacotes de raiz confiáveis da Cisco. Essa alteração terá um efeito no WSA. Os pacotes serão atualizados automaticamente em todas as versões suportadas do Cisco AsyncOS para Web e não há necessidade de ações dos administradores do WSA.
Descrição da atualização
Esses pacotes refletem as atualizações mais recentes para os pacotes derivados de armazenamentos de raiz confiáveis upstream a partir de novembro de 2016.
As alterações mais importantes nos pacotes raiz confiáveis da Cisco devem ser observadas:
- De acordo com a decisão das principais lojas de confiança (Google, Apple, Mozilla) de removê-los, os novos pacotes de raiz confiável da Cisco não contêm mais raízes de WoSign/StartCom. Se eles reenviarem novas raízes para armazenamentos de raiz upstream, vamos rever a decisão de removê-las dos pacotes confiáveis.
- O novo Cisco Root CA 2099 foi adicionado a todos os pacotes para suportar os novos chipsets ACT2.
- A antiga raiz VeriSign foi substituída no pacote Core pela raiz mais recente que encadeia corretamente os certificados mPKI da VeriSign.
- A raiz DST CA X1 foi removida somente do pacote Core, pois a Cisco não emite mais raízes dessa cadeia.
O que isso significa para usuários do WSA?
- O Cisco WSA baixa novos pacotes de certificados raiz que usam nosso processo de atualização. Nenhuma ação é necessária dos Administradores WSA.
- Se o WSA estiver configurado para usar descriptografia, as solicitações para sites que têm certificados SSL assinados por WoSign/StartCom serão removidas por padrão pelo WSA, pois os certificados de CA raiz desse fornecedor não serão confiáveis para o WSA após a atualização.
- Como alternativa, o WSA aplicará a ação configurada em Proxy HTTPS > Tratamento de certificado inválido > Autoridade/emissor raiz não reconhecido. Essa ação é DROP por padrão e a Cisco recomenda não alterar a ação padrão Autoridade raiz não reconhecida.
Feedback