过期的SSL证书

每天都有数千张SSL证书过期。在大多数情况下，这些看似无关紧要的时刻并不会被注意到。我们的网站依旧保持安全，我们的服务器还正常运转。

然后就会发生，另一个SSL证书到期的事。只是这一次，有人忘记更新证书了。接下来会发生什么呢？在这篇博客中，我们将揭露证书过期的原因、证书过期会发生什么事以及如何有效解决。

SSL证书是确保网站、应用程序和机器对机器连接的一个重要因素，但由于它们的广泛使用，它们也非常难跟踪记录。

为什么要记录证书呢？它可归结为一个事件——证书过期

每个SSL证书都设置有一个有效期。它们过去设置的有效期是5年，然后是两年。现在，公开发行的证书的有效期仅有398天。与Netflix订阅在获取流量时的自动更新不同，SSL证书不会自动更新。这个通常是PKI或安全团队的责任。

如果一个组织只使用了少量的证书，他们可以手动记录和更新它们。然而，现实情况是，大多数公司都拥有成千上万的SSL证书，要记录这些证书的位置、谁拥有它们以及它们什么时候过期，大量手动操作变得极其困难。

为什么这么麻烦呢？为什么证书必须有过期时间？当它们到期时，会发生什么？

证书过期的重要性（和风险）

证书到期是件好事。原因就跟我们更新护照、个人身份证和密码一样，证书也有有效期，必须在设定的有效期后进行更新，以确保它们是准确的、最新和可信的。

生命周期更短（90天或更短）的证书在现代快速变化的环境中更安全、更有利。然而，这些短期的证书也增加了负责发行和更新证书的团队的负担。

当证书过期没被注意到时，并且网站所有者忘记及时更新证书时，就会发生证书中断——尽管有多个电子邮件和警告消息提醒。这些证书中断的严重程度和影响可能从无法访问WI-FI的单个用户到影响数百万客户的全球网络或服务中断。

为了正确地看待，Keyfactor最近启动了一份关于机器身份管理状态的报告。在报告中，我们询问了受访者他们遇到与证书过期中断服务的频率，以及对组织有什么影响。我们发现：

88%的公司由于证书过期而继续经历服务意外中断;

在过去两年，他们平均经历了超过3次以上的证书中断;

40%的受访者表示，他们的组织很有可能经历更多的中断;

59%的受访者表示，他们担心SSL/TLS生命周期短导致中断风险增加。

一张过期的证书，导致一次Epic中断

尽管更新固件对于确保物联网连接设备群的安全可操作性非常重要，但固件通常是一个不受保护的攻击面，攻击者利用它入侵网络，损害数据，甚至接管对设备的控制，以造成伤害或中断。总之，不安全的固件等同于一个不安全的物联网设备。

网络犯罪分子渴望利用物联网安全方面的弱点和漏洞，并不是总是攻击设备本身，而是发起其他恶意行为，如DDoS攻击、恶意软件分发或数据泄露和破坏。

OWASP Top 10 IoT强调，缺乏安全的固件更新机制是影响IoT安全的主要漏洞之一：

“缺乏安全更新设备的能力。这包括缺乏在设备上的固件验证、缺乏安全交付（在传输中未加密）、缺乏防回滚机制以及缺乏由于更新而导致的安全更改通知。”

为了解决这一漏洞，企业必须确保OTA能够可靠、安全、定期地更新IoT固件。但是，也存在某些影响IoT固件更新安全性的关键因素，包括：

签名妥协：未经授权对代码签名密钥或固件签名机制的访问可以使攻击者能够冒充信任，并将恶意更新传递到似乎受信任的设备。允许代码在设备上执行之前，必须加强代码签名密钥的防御，并确保固件签名得到验证。

不安全的编码：由于不安全的设备编程，可能会发生缓冲区溢出。攻击者会寻找这些编码缺陷，导致应用程序不稳定或崩溃，从而导致安全漏洞。缓冲区溢出可以允许网络犯罪分子远程访问设备，并可以被武器化，创建DDoS或恶意软件注入攻击。

不安全的软件供应链：物联网设备的开发严重依赖于软件供应链和开源组件的广泛使用。由于缺乏确保供应链安全的程序，导致使用了不安全的开源组件，其中包含攻击者急于利用的嵌入式漏洞。最新的SolarWinds攻击就是一个很好的例子，说明了不安全的软件供应链可能出现什么样的问题。

生产设备中被遗忘的测试服务：在物联网设备开发和测试过程中，具有调试服务和凭证的开发人员不应该转移到终端生产设备，因为它们提供了攻击者轻易访问的机会。

几乎每个企业都在为证书中断而苦苦挣扎，但很少有人会透露它们何时发生或为什么会发生。直到Epic Games——Fortnite、Rocket League 和 Houseparty 等粉丝最爱的制造商——由于SSL 证书过期而经历了大规模中断。

2021年4月6日，我们的通配符TLS证书意外过期。当证书过期时很尴尬，但我们觉得在这里分享我们的故事很重要，希望其他人也能借鉴我们的经验来改进他们的系统。如果您或您的组织正在使用证书监控，这可能会很好地提醒您检查这些系统中的差异。

当SSL证书过期时会发生什么事？

Epic Games并没有淡化这一事件，而是把糟糕的情况分享出来，把所发生的事情以及如何预防。

以下是对事件时间的快速概述：

时间线：

过期时间：在UTC时间下午12点，内部证书过期。过期的通配符证书安装在数百个后端服务中，导致Fortnite、Rocket League、Houseparty、Epic Online Services 和 Epic Games Store的服务大范围中断。

响应：一旦他们的事件管理流程启动，他们的团队只需12分钟就可以发现过期的证书是问题的起源，并开始更新证书流程。

补救措施：在UTC时间下午12:37，更新后的证书被重新发布，并在接下来的15分钟内通过其后端服务推出。此时，他们有25人直接参与解决了这个问题，并在玩家支持、社区、工程和生产服务中进一步奋斗。

结果：他们的团队能够在一小时内更新证书和恢复大部分服务。然而，最初的中断暴露了其IT基础设施中的一系列问题，导致了Epic Games Launcher和Epic Games Store服务进一步中断。

总的来说，Epic Games花了将近5个半小时才完全恢复服务。不幸的是，这并不是一个特例。证书过期是最近众多备受瞩目的服务长期中断的原因，如Microsoft Teams, Azure AD, 或Google Voice。

导致SSL证书中断的根本原因

不安全的物联网固件可能会给这些连接设备的消费者带来可怕的后果。更有问题的是，这种类型的恶意攻击不需要物理访问，攻击者可以在没有警告的情况下远程使用它们。

以下是不安全更新导致暴露的固件漏洞或固件攻击的几个示例：

每次中断都不同，但导致它们的潜在问题始终一致：预见性有限和缺乏自动化。这次事件也不例外……

有限预见性

这个内部服务到服务通信的DNS区域没有被我们的证书监控服务主动监控，这是我们的疏忽。证书发现是证书管理中最重要的组成部分之一。毕竟，您不能续签一个你不知道的证书。也就是说，53%的公司仍然不知道他们实际拥有多少密钥和证书（包括自签名的）。

缺乏流程和自动化功能

此内部证书没有启用自动更新，并且在今年早些时候并未确定实现这一点所需的工作为优先级。

要更新证书，证书所有者通常需要生成一个新的CSR，通过CA机构进行认证安装，验证证书所有者是否处于正常状态，然后返回实时操作。如果您正在手动处理这些进程，那么在证书意外过期时几乎不可能做出有效的响应。

通配符证书

所使用的服务到服务的通配符证书安装在数百个不同的生产服务中，因此，影响非常广泛。

通配符SSL证书很方便，但从安全的角度来看，他们会造成严重的安全问题。如果私钥损坏或允许证书过期，则影响范围将乘以其上安装的服务器数量。

对证书生命周期自动化的需求

不幸的是，IT和安全领导者很容易将证书过期视为一个意外事件，而不是更大的潜在问题的症状——临时和手动证书管理流程。

公司依靠混合电子表格、CA 接口和自行开发的工具来跟踪和管理其证书的情况并不少见。事实上，只有大约三分之一 (36%) 的公司使用专用的证书生命周期管理(CLM) 解决方案。这意味着大多数公司仍然停留在手动和独立的流程中，无法在其 IT 环境中提供所需的预见性。

有效的证书管理策略应该主动监控每个证书，启用自动更新和部署到工作负载和端点，并限制未知、自签名和通配符证书的使用，因为这些证书会增加证书过期的风险和影响。

来源网站：https://www.keyfactor.com/沃通WoTrus原创翻译整理，转载请注明来源