Server sertifikat zənciri müştərinin etimad anbarını üstələyə bilərmi?

Brauzer zənciri tam olan bir saytda sertifikat xəbərdarlığı göstərir və ilk instinkt serveri düzəltməkdir. Adətən server məhz lazım olanı təqdim edir. Müştəri hansı lövbərləri qəbul etdiyini özü müəyyən edir və ara sertifikatların heç bir düzümü bu qərarı bağlantının digər ucundan dəyişə bilməz. Bu sərhəd sertifikat problemi kimi görünən şeylərin çoxunu izah edir.

Doğrulama müştəridə, müştərinin lövbərləri ilə aparılır

Yol doğrulaması təqdim olunan sertifikatları götürür və doğrulama sisteminin artıq saxladığı etimad lövbərinə qədər zəncir qurur. RFC 5280 bu modeli təsvir edir və lövbər seçimini serverə deyil, yerli tətbiqə qoyur. Proqram öz siyasətini üstünə əlavə edə bilər: bərkidilmiş açar, korporativ etimad anbarı, və ya daha ciddi şəxsiyyət yoxlaması. Serverin göndərdiyi sertifikat siyahısı həmin prosesə təqdim olunan sübutdur, heç vaxt ona göstəriş deyil.

Yəni tam zəncir serverin hissələrə sahib olduğunu sübut edir. Müştərinin onları qəbul edəcəyini sübut etmir.

Serverin həqiqətən nə göndərdiyini görmək üçün işə salın openssl s_client -connect app.example.net:443 -servername app.example.net -showcerts və çıxışdakı sertifikatları sayın. Oradakı natamam zəncir server tərəfində düzəlişdir. Tam zəncir isə sualı müştəriyə və onun lövbərlərinə keçirir, orada serverin səsi yoxdur.

TLS yoxlaması əslində nəyi dəyişir

Yoxlama cihazı müştəri tərəfindəki TLS sessiyasını dayandırır və real xidmətə ayrı sessiya açır. Sonra müştəri cihazın sertifikatını doğrular və bu sertifikat müştərinin etimad etdiyi lövbərə qədər uzanmalıdır. Buna görə idarə olunan cihazlar yoxlama kökünü cihaz idarəetməsi vasitəsilə alır və buna görə onu olmayan fərdi cihaz xəbərdarlıq göstərir.

Bu quruluş qəsdən və yerlidir. Orijinal serverin zəncirində heç nə idarə olunmayan brauzeri əvəzedici şəxsiyyəti qəbul etməyə məcbur edə bilməz və heç nə idarə olunan cihazın bunu etməsinin qarşısını almır.

VPN sonlandırması HTTPS şifrəsinin açılması deyil

VPN qatı paketləri müştəri ilə şlüz arasında daşıyır. Onu çıxarmaq və ya konfiqurasiyasını oxumaq içəridəki HTTPS yükünü açmır.

TLS sessiyası hələ də brauzer ilə veb server arasında, eyni doğrulama qaydaları ilə işləyir, məgər nəsə onu açıq şəkildə dayandırmasa. İki qatı qarışdırmaq VPN administratorundan sertifikat təqdim etməsini xahiş etməyə gətirib çıxarır, halbuki söhbət gedən sertifikat yoxlama proksisinə və ya saytın özünə aiddir. Hər hansı etimad anbarını dəyişməzdən əvvəl hansı komponentin sertifikatı təqdim etdiyini soruşun.

Gözləntiləri nəzarət etdiyiniz komponentdə müəyyənləşdirin

Əgər tətbiqi və onun müştərisini idarə edirsinizsə, gözlənilən xidmət şəxsiyyətini, qəbul edilən buraxıcıları və hər hansı bərkidilmə və ya müştəri autentifikasiyası tələbini birlikdə müəyyən edin. Yenilənməni və bərpanı elə planlaşdırın ki, qanuni sertifikat dəyişikliyi fasiləyə çevrilməsin. Əgər yalnız ictimai serveri idarə edirsinizsə, hansı autentifikasiyanı tələb etdiyinizi və hansı müştəri mühitlərini dəstəklədiyinizi sənədləşdirin. Üstünlük verilən zənciri göndərmək yad cihazı sertifikatlaşdırmır.

İdarə olunan avadanlıqda uyğunsuzluğu tətbiq və şəbəkə sahibləri vasitəsilə həll edin. Doğrulamanı söndürmək, izahsız kök əlavə etmək və ya yoxlama siyasətindən yayınmağa çalışmaq nəzərdə tutulan bərabər əlaqəni qurmur.

Nəticəni təmiz müştəri profilində yoxlayın, artıq istisna əlavə edilmiş maşında deyil. Yeni cihazın nə yaşayacağını göstərən yeganə yoxlama budur.