====== Funzionamento parallelo ======

<WRAP round info>
**Complessità:** Media \\
**Durata:** Illimitata (fino alla disattivazione Classic) \\
**Rischio:** Basso
</WRAP>

Funzionamento simultaneo di PKI classica e Post-Quantum per massima compatibilità.

----

===== Architettura =====

<mermaid>
flowchart TB
    subgraph CLASSIC["🔐 PKI CLASSICA"]
        CR[Root-CA classica]
        CI[Intermediate classica]
        CC[Certificati classici]
    end

    subgraph HYBRID["🔄 PKI IBRIDA"]
        HR[Root-CA ibrida]
        HI[Intermediate ibrida]
        HC[Certificati ibridi]
    end

    subgraph CLIENTS["👥 CLIENT"]
        OLD[Client legacy]
        NEW[Client moderni]
    end

    CR --> CI --> CC
    HR --> HI --> HC
    CC --> OLD
    HC --> NEW
    CC -.->|Fallback| NEW

    style CLASSIC fill:#ffebee
    style HYBRID fill:#e8f5e9
</mermaid>

----

===== Quando funzionamento parallelo? =====

| Scenario | Raccomandazione |
|----------|-----------------|
| Sistemi legacy non aggiornabili | ✓ Parallelo |
| Migrazione graduale su anni | ✓ Parallelo |
| Requisiti normativi per retrocompatibilità | ✓ Parallelo |
| Greenfield / Nuovo progetto | ✗ Direttamente Hybrid |
| Tutti i client aggiornabili | ✗ Migrazione Hybrid |

----

===== Configurazione =====

==== Struttura directory ====

<code>
/etc/pki/
├── classic/
│   ├── root-ca.pem
│   ├── intermediate-ca.pem
│   ├── intermediate-ca.key
│   ├── crl/
│   └── issued/
├── hybrid/
│   ├── root-ca.pem
│   ├── intermediate-ca.pem
│   ├── intermediate-ca.key
│   ├── crl/
│   └── issued/
└── scripts/
    ├── issue-classic.sh
    ├── issue-hybrid.sh
    └── issue-both.sh
</code>

==== Script emissione duale ====

<code bash>
#!/bin/bash
# /etc/pki/scripts/issue-both.sh
# Emette un certificato da ENTRAMBE le PKI

CSR_FILE="$1"
OUTPUT_PREFIX="$2"

if [ -z "$CSR_FILE" ] || [ -z "$OUTPUT_PREFIX" ]; then
    echo "Utilizzo: $0 <file-csr> <prefisso-output>"
    exit 1
fi

# Emissione certificato classico
echo "Emissione certificato classico..."
openssl ca -config /etc/pki/classic/openssl.cnf \
    -in "$CSR_FILE" \
    -out "${OUTPUT_PREFIX}-classic.pem" \
    -days 365 \
    -batch

# Emissione certificato ibrido
echo "Emissione certificato ibrido..."
/usr/local/bin/wvds-sign --mode hybrid \
    --ca /etc/pki/hybrid/intermediate-ca.pfx \
    --csr "$CSR_FILE" \
    --out "${OUTPUT_PREFIX}-hybrid.pem" \
    --days 365

echo "Completato:"
echo "  Classico: ${OUTPUT_PREFIX}-classic.pem"
echo "  Ibrido:   ${OUTPUT_PREFIX}-hybrid.pem"
</code>

----

===== Configurazione server =====

==== Nginx: Certificato duale ====

<code nginx>
server {
    listen 443 ssl;
    server_name api.example.com;

    # Primario: Certificato ibrido
    ssl_certificate     /etc/ssl/certs/api-hybrid.pem;
    ssl_certificate_key /etc/ssl/private/api.key;
}

# Alternativa: Server separato per Legacy
server {
    listen 443 ssl;
    server_name api-legacy.example.com;

    ssl_certificate     /etc/ssl/certs/api-classic.pem;
    ssl_certificate_key /etc/ssl/private/api.key;
}
</code>

----

===== Gestione Trust Store =====

==== Client con entrambe le CA ====

<code bash>
# Trust Store con entrambe le Root-CA
cat /etc/pki/classic/root-ca.pem /etc/pki/hybrid/root-ca.pem > /etc/ssl/certs/ca-bundle.pem

# Oppure aggiungerle singolarmente
update-ca-trust extract
</code>

==== Trust Store Windows ====

<code powershell>
# Importare entrambe le Root-CA
Import-Certificate -FilePath "classic-root.cer" -CertStoreLocation Cert:\LocalMachine\Root
Import-Certificate -FilePath "hybrid-root.cer" -CertStoreLocation Cert:\LocalMachine\Root
</code>

----

===== CRL/OCSP per entrambe le PKI =====

<code nginx>
# Distribuzione CRL
location /crl/classic/ {
    alias /etc/pki/classic/crl/;
    types { application/pkix-crl crl; }
}

location /crl/hybrid/ {
    alias /etc/pki/hybrid/crl/;
    types { application/pkix-crl crl; }
}
</code>

----

===== Monitoraggio =====

<code yaml>
# Prometheus: Monitorare entrambe le PKI
scrape_configs:
  - job_name: 'pki-classic'
    static_configs:
      - targets: ['localhost:9793']
    relabel_configs:
      - target_label: pki
        replacement: 'classic'

  - job_name: 'pki-hybrid'
    static_configs:
      - targets: ['localhost:9793']
    relabel_configs:
      - target_label: pki
        replacement: 'hybrid'
</code>

----

===== Tracciamento migrazione =====

<code bash>
#!/bin/bash
# migration-status.sh - Stato avanzamento migrazione

echo "=== Stato migrazione PKI ==="

classic_count=$(find /etc/pki/classic/issued -name "*.pem" | wc -l)
hybrid_count=$(find /etc/pki/hybrid/issued -name "*.pem" | wc -l)
total=$((classic_count + hybrid_count))

if [ "$total" -gt 0 ]; then
    hybrid_percent=$((hybrid_count * 100 / total))
else
    hybrid_percent=0
fi

echo "Classici: $classic_count"
echo "Ibridi:   $hybrid_count"
echo "Totale:   $total"
echo "Migrazione: $hybrid_percent%"
</code>

----

===== Dismissione Classic =====

<mermaid>
flowchart LR
    subgraph ACTIVE["✅ ATTIVO"]
        A1[Entrambe PKI attive]
    end

    subgraph TRANSITION["🔄 TRANSIZIONE"]
        T1[Classic: solo rinnovi]
        T2[Hybrid: nuovi certificati]
    end

    subgraph SUNSET["🌅 SUNSET"]
        S1[Classic: solo attivi]
        S2[Nessun nuovo cert Classic]
    end

    subgraph END["🛑 FINE"]
        E1[Classic disattivata]
    end

    ACTIVE --> TRANSITION --> SUNSET --> END

    style ACTIVE fill:#e8f5e9
    style END fill:#ffebee
</mermaid>

**Timeline:**

| Fase | Azione | Trigger |
|------|--------|---------|
| Attivo | Entrambe PKI emettono | Inizio |
| Transizione | Classic solo rinnovi | 80% Hybrid |
| Sunset | Classic lasciare scadere | 95% Hybrid |
| Fine | Classic-CA offline | Tutti Classic scaduti |

----

===== Checklist =====

| # | Punto di verifica | ✓ |
|---|-------------------|---|
| 1 | Entrambe PKI configurate | ☐ |
| 2 | Script dual-issue funzionanti | ☐ |
| 3 | Trust Store contengono entrambe CA | ☐ |
| 4 | CRL/OCSP disponibili per entrambe | ☐ |
| 5 | Monitoraggio attivo per entrambe | ☐ |
| 6 | Tracciamento migrazione configurato | ☐ |
| 7 | Piano phase-out documentato | ☐ |

----

===== Documentazione correlata =====

  * [[.:classic-to-hybrid|Classic → Hybrid]] – Migrazione diretta
  * [[.:rollback-strategie|Strategia di rollback]] – Piano di emergenza
  * [[..:monitoring:start|Monitoraggio]] – Sorveglianza entrambe PKI

----

<< [[.:classic-to-hybrid|← Classic → Hybrid]] | [[.:rollback-strategie|→ Strategia di rollback]] >>

----
//Wolfgang van der Stille @ EMSR DATA d.o.o. - Post-Quantum Cryptography Professional//

{{tag>migrazione parallelo dual-pki compatibilità operator}}