TLS
Zertifikate, um die sich niemand kümmern muss
Abgelaufene Zertifikate sind eine der häufigsten Ursachen für vermeidbare Ausfälle. EdgeWall stellt Zertifikate deshalb selbst aus und erneuert sie mit einem Vorlauf, der auch einen Fehlversuch verkraftet.
Ablauf
Von der Ausstellung bis zum eigenen Zertifikat
- 01
Ausstellung
Für den Domainnachweis stehen zwei Verfahren bereit. HTTP-01 führt den Nachweis über die Domain selbst und setzt voraus, dass sie bereits auf den Dienst zeigt. DNS-01 läuft über einen DNS-Eintrag bei PowerDNS. So stellen Sie ein Zertifikat aus, bevor die Domain umgezogen ist.
- 01b
Beim Umzug
Nehmen Sie DNS-01. HTTP-01 setzt voraus, dass die Domain bereits hierher zeigt — beim Umzug ist das die falsche Reihenfolge: erst umstellen, dann darauf warten, dass das Zertifikat kommt. Über DNS-01 steht es vorher, und die Umstellung selbst dauert so lange wie ein DNS-Wechsel.
- 02
Verlängerung
Die Erneuerung startet 30 Tage vor Ablauf, ausgelöst durch einen internen Zeitgeber. Kein Cron-Job, keine externe Überwachung, kein manueller Eingriff.
Der Abstand ist bewusst großzügig: Scheitert ein Versuch, weil ein DNS-Eintrag nicht rechtzeitig verteilt ist oder die Ausstellungsstelle gerade nicht erreichbar ist, bleibt Zeit für weitere Versuche, ohne dass jemand nachts geweckt wird. Der Wert ist eine Vorgabe und kann angepasst werden.
- 03
Speicherung
Private Schlüssel liegen nicht als Klartextdateien auf dem Dateisystem. Sie werden AES-256-GCM-verschlüsselt in der Konfigurationsdatenbank gespeichert. Der Verschlüsselungsschlüssel ist von der Datenbank getrennt.
Ein Datenbank-Backup enthält damit ausschließlich Chiffretext.
- 04
Eigenes Zertifikat
Zertifikate aus anderer Quelle, etwa mit erweiterter Prüfung oder aus einer internen Stelle, hinterlegen Sie selbst. Geprüft wird beim Hochladen, nicht beim nächsten Neustart.
Beim Hochladen wird geprüft
- 01 Das Zertifikat ist ein gültiges X.509-Zertifikat
- 02 Der private Schlüssel passt zum Zertifikat
- 03 Der Gültigkeitszeitraum liegt nicht in der Vergangenheit
- 04 Die enthaltenen Domainnamen passen zur Site
Ein Zertifikat, dessen privater Schlüssel nicht dazu passt, wird beim Hochladen abgewiesen, nicht erst beim nächsten Neuladen des Dienstes.
Die Kettenprüfung fängt eine der häufigsten TLS-Fehlkonfigurationen ab: Zertifikate, die ohne Zwischenzertifikate eingespielt werden. Browser mit eigenem Zertifikat-Cache stellen eine unvollständige Kette manchmal trotzdem dar; mobile Clients und API-Aufrufer scheitern dann stillschweigend. EdgeWall weist das Zertifikat bei der Übernahme ab, nicht erst beim ersten Verbindungsaufbau.
Woher der ACME-Client kommt
Der ACME-Client stammt aus golang.org/x/crypto/acme, dem erweiterten Standardbibliotheksumfang des Go-Projekts. Kein Fremdframework, keine zusätzliche Abhängigkeitskette — der Client wird mit derselben Sorgfalt gepflegt wie die Standardbibliothek.
Eigener Code ist die Anbindung darum herum: die DNS-01-Umsetzung über PowerDNS, die Wartezeit auf die Verteilung des TXT-Eintrags, der verschlüsselte Speicher und der Erneuerungspfad über den Zeitgeber.
Zertifikate übernehmen
Bestehende Zertifikate übernehmen wir, oder EdgeWall stellt neue aus. Welcher Weg sinnvoll ist, hängt davon ab, wo Ihre DNS-Zone liegt.
Schreiben Sie an support@itworxx.de. Diese Seite hat kein Kontaktformular und setzt keine Cookies.