Može li lanac certifikata servera nadjačati skladište povjerenja klijenta?

Preglednik prikazuje upozorenje o certifikatu na stranici čiji je lanac potpun, a prvi instinkt je popraviti server. Obično server predstavlja upravo ono što treba. Klijent odlučuje koja sidra prihvata i nikakav raspored posrednih certifikata ne može promijeniti tu odluku s druge strane veze. Ta granica objašnjava većinu onoga što izgleda kao problem s certifikatom.

Provjera se izvodi na klijentu, sa sidrima klijenta

Provjera putanje uzima predstavljene certifikate i gradi lanac do sidra povjerenja koje provjeravajući sistem već ima. RFC 5280 opisuje taj model i smješta izbor sidra u lokalnu implementaciju, a ne u server. Aplikacija može dodati vlastitu politiku povrh toga: prikovani ključ, poslovno skladište povjerenja, ili strožu provjeru identiteta. Popis certifikata koji server šalje dokaz je ponuđen tom procesu, nikada uputa njemu.

Dakle, potpun lanac dokazuje da server ima dijelove. Ne dokazuje da će ih klijent prihvatiti.

Da vidite šta server zaista šalje, pokrenite openssl s_client -connect app.example.net:443 -servername app.example.net -showcerts i prebrojte certifikate u izlazu. Nepotpun lanac tamo je popravka na strani servera. Potpun lanac prenosi pitanje na klijenta i njegova sidra, gdje server nema glas.

Šta TLS inspekcija zapravo mijenja

Uređaj za inspekciju prekida TLS sesiju na strani klijenta i otvara odvojenu sesiju prema stvarnoj usluzi. Klijent zatim provjerava certifikat uređaja, koji mora voditi do sidra kojem klijent vjeruje. Zato upravljani uređaji dobijaju inspekcijski korijen kroz upravljanje uređajima i zato lični uređaj bez njega prikazuje upozorenje.

Raspored je namjeran i lokalan. Ništa u lancu izvornog servera ne može prisiliti neupravljani preglednik da prihvati zamjenski identitet, a ništa u njemu ne sprječava upravljani uređaj da to učini.

VPN terminacija nije HTTPS dešifrovanje

VPN sloj prenosi pakete između klijenta i mrežnog prolaza. Uklanjanje tog sloja ili čitanje njegove konfiguracije ne otkriva HTTPS sadržaj unutra.

TLS sesija i dalje teče između preglednika i web servera, po istim pravilima provjere, osim ako je nešto izričito ne prekine. Miješanje dva sloja stvara zahtjev VPN administratoru da dostavi certifikat, dok certifikat o kojem je riječ pripada inspekcijskom proxyju ili samoj stranici. Pitajte koja komponenta predstavlja certifikat prije nego što promijenite bilo koje skladište povjerenja.

Postavite očekivanja u komponenti koju kontrolišete

Ako upravljate aplikacijom i njenim klijentom, zajedno definišite očekivani identitet usluge, prihvaćene izdavaoce i svaki zahtjev za prikivanje ili autentifikaciju klijenta. Planirajte obnovu i oporavak tako da legitimna promjena certifikata ne postane prekid rada. Ako upravljate samo javnim serverom, dokumentujte koju autentifikaciju zahtijevate i koja klijentska okruženja podržavate. Slanje preferiranog lanca ne certificira tuđi uređaj.

Na upravljanoj opremi nespojivost rješavajte kroz vlasnike aplikacije i mreže. Onemogućavanje provjere, dodavanje nerazjašnjenog korijena ili pokušaj da nadživite inspekcijsku politiku ne uspostavlja željeni odnos strana.

Testirajte rezultat na čistom klijentskom profilu, a ne na mašini na koju je već dodan izuzetak. To je jedina provjera koja pokazuje što će novi uređaj doživjeti.