هل يمكن لسلسلة شهادات الخادم أن تتجاوز مخزن الثقة لدى العميل؟

يعرض المتصفح تحذيرًا بشأن شهادة على موقع سلسلته مكتملة، والغريزة الأولى هي إصلاح الخادم. عادةً يقدّم الخادم بالضبط ما ينبغي عليه. يقرّر العميل أي المراكز يقبل، ولا يمكن لأي ترتيب من الشهادات الوسيطة أن يغيّر ذلك القرار من الطرف الآخر للاتصال. يفسّر هذا الحدّ معظم ما يبدو مشكلة في الشهادة.

التحقق يجري على العميل، بمراكز العميل

يأخذ التحقق من المسار الشهادات المقدَّمة ويبني سلسلة حتى مركز ثقة يمتلكه نظام التحقق أصلًا. يصف RFC 5280 ذلك النموذج، وهو يضع اختيار المركز لدى التنفيذ المحلي لا لدى الخادم. يمكن للتطبيق أن يضيف سياسته الخاصة فوق ذلك: مفتاح مثبَّت، مخزن ثقة للمؤسسات، أو فحص هوية أكثر صرامة. قائمة الشهادات التي يرسلها الخادم دليل يُعرض على تلك العملية، وليست تعليمًا لها.

إذن تُثبت السلسلة المكتملة أن الخادم يملك الأجزاء. لكنها لا تُثبت أن العميل سيقبلها.

لمعرفة ما يرسله الخادم فعليًا، شغّل openssl s_client -connect app.example.net:443 -servername app.example.net -showcerts ثم عُدّ الشهادات في المخرجات. السلسلة الناقصة هناك إصلاح من جانب الخادم. أما السلسلة المكتملة فتنقل السؤال إلى العميل ومراكزه، حيث لا صوت للخادم.

ما الذي يغيّره فحص TLS فعليًا

يُنهي جهاز الفحص جلسة TLS من جهة العميل ويفتح جلسة منفصلة إلى الخدمة الحقيقية. ثم يتحقق العميل من شهادة الجهاز، التي يجب أن تتصل بمركز يثق به العميل. لهذا تتلقى الأجهزة المُدارة جذر الفحص عبر إدارة الأجهزة، ولهذا يُظهر جهاز شخصي لا يملكه تحذيرًا.

الترتيب مقصود ومحلي. لا شيء في سلسلة الخادم الأصلي يمكنه إجبار متصفح غير مُدار على قبول الهوية البديلة، ولا شيء فيها يمنع جهازًا مُدارًا من ذلك.

إنهاء VPN ليس فك تشفير HTTPS

تحمل طبقة VPN الحزم بين عميل وبوابة. إزالتها، أو قراءة إعداداتها، لا تكشف حمولة HTTPS بالداخل.

تظل جلسة TLS تعمل بين المتصفح وخادم الويب، بالقواعد نفسها للتحقق، ما لم يُنهها شيء صراحةً. خلط الطبقتين يُنتج طلبًا من مسؤول VPN لتقديم الشهادة، بينما الشهادة المعنية تخص وكيل فحص أو الموقع نفسه. اسأل أي مكوّن يقدّم الشهادة قبل تغيير أي مخزن ثقة.

اضبط التوقعات في المكوّن الذي تتحكم به

إذا كنت تدير التطبيق وعميله، فحدّد هوية الخدمة المتوقعة والمصادر المقبولة وأي متطلب تثبيت أو مصادقة عميل معًا. خطّط للتجديد والاستعادة حتى لا يتحول تغيير شرعي للشهادة إلى انقطاع. وإذا كنت تدير الخادم العام فقط، فوثّق المصادقة التي تطلبها وبيئات العملاء التي تدعمها. إرسال سلسلة مفضّلة لا يشهد على جهاز غريب.

على المعدات المُدارة، حلّ عدم التوافق عبر مالكي التطبيق والشبكة. تعطيل التحقق، أو إضافة جذر لا تفسير له، أو محاولة تجاوز سياسة فحص، لا يؤسس علاقة النظير المقصودة.

اختبر النتيجة على ملف تعريف عميل نظيف، لا على الجهاز الذي أُضيف عليه استثناء بالفعل. هذا هو الفحص الوحيد الذي يُظهر ما سيواجهه جهاز جديد.