Server authentication certificate

[Verwijderd]

Beste Tweakers,

Recentelijk ben ik in aanraking gekomen met server certificates.
Ik master het hele certificaat gebeuren echt nog niet goed vandaar dat ik dit topic open.

Op een aantal servers zie ik dus dat een aantal certificaten verlopen zijn.



Zijn hier dus een heleboel server authentication certifiaten op terug te vinden.
Meeste van deze certificaten zijn self-signed.
Ik neem aan dat deze zijn aangemaakt door de domaincontroller zelf via de IIS.
Nu vraag ik mij af wat het gevolg is als zo'n server authentication certificaat verlopen is?
Kunnen deze makkelijk vernieuwd worden?
Ik heb op fora gelezen dat het eenvoudiger is om gewoon een nieuw te genereren?
Ik weet het een hoop vragen, als iemand mij kan linken naar bepaalde artikels waar het hele certificaat gebeuren uit de doeken wordt gedaan zou mij ook goed op weg helpen.

[Linke Loe]

Zo lang de verlopen certificaten nergens voor gebruikt worden, zou ik me er niet echt druk om maken. Ik zie een certificaat voor webmail, die verlopen is op 6 juli, maar deze is zo te zien vervangen door een ander certificaat die verloopt op 3 juli 2016. Je zou het verlopen certificaat hier kunnen verwijderen, die doet toch niks meer. Van de andere certificaten, kan ik niet zien waar ze vandaan komen en waar ze voor gebruikt worden, maar als ze niet meer in gebruik zijn, kun je ze hier gewoon verwijderen...

Self-signed certificaten zijn door de webserver zelf gemaakt, niet door de domain controller. Self-signed certificaten zijn dan ook alleen trusted op de webserver zelf, tenzij je deze ook op andere PC's en servers installeert. Daarnaast kun je zelf een CA hebben draaien, in de vorm van Active Directory Certificate Services. Certificaten die hier vandaan komen, zijn in principe trusted op iedere domain member, mits het root-certificaat van de CA is uitgerold in je domein, bijvoorbeeld door middel van een GPO.

Als een certificaat verlopen is, krijg je daar meldingen van op het moment dat je de applicatie opent. Een certificaat wordt namelijk op 3 punten gecontroleerd: de geldigheid, de hostnaam en de afkomst. Je krijgt dus meldingen als het certificaat niet (of nog niet) geldig is, als de gebruikte hostnaam niet overeen komt met die in het certificaat en als het certificaat niet afkomstig is van een trusted CA.

In feite wordt er altijd een nieuw certificaat aangemaakt, als het oude certificaat verloopt. Je kan niet van een bestaand certificaat de geldigheidsdatum zodanig aanpassen dat ie weer een jaar geldig is. Ook als je bij een 3rd party een certificaat verlengt, krijg je een nieuw certificaat, maar dan met een geldigheidsdatum, vanaf de verloopdatum van het oude certificaat.