A all cadwyn certifidau’r gweinydd ddiystyru storfa ymddiriedolaeth y cleient?

Mae porwr yn dangos rhybudd certifid ar safle y mae ei gadwyn yn gyflawn, a’r redfa gyntaf yw trwsio’r gweinydd. Fel arfer mae’r gweinydd yn cyflwyno’n union yr hyn y dylai. Y cleient sy’n penderfynu pa angorau y mae’n eu derbyn, ac ni all unrhyw drefniant o dystysgrifau canolradd newid y penderfyniad hwnnw o ben arall y cysylltiad. Mae’r ffin hon yn esbonio’r rhan fwyaf o’r hyn sy’n edrych fel problem certifid.

Mae dilysu’n rhedeg ar y cleient, gydag angorau’r cleient

Mae dilysu llwybr yn cymryd y tystysgrifau a gyflwynir ac yn adeiladu cadwyn i angor ymddiriedolaeth sydd eisoes gan y system ddilysu. Mae RFC 5280 yn disgrifio’r model hwnnw, ac mae’n gosod dewis angor gyda’r gweithrediad lleol yn hytrach na’r gweinydd. Gall cymhwysiad ychwanegu ei bolisi ei hun ar ben hynny: allwedd wedi’i phinio, storfa ymddiriedolaeth fenter, neu wiriad hunaniaeth llymach. Mae’r rhestr dystysgrifau y mae gweinydd yn ei hanfon yn dystiolaeth a gynigir i’r broses honno, byth yn gyfarwyddyd iddi.

Felly mae cadwyn gyflawn yn profi bod y darnau gan y gweinydd. Nid yw’n profi y bydd y cleient yn eu derbyn.

I weld beth mae’r gweinydd yn ei anfon mewn gwirionedd, rhedegwch openssl s_client -connect app.example.net:443 -servername app.example.net -showcerts a chyfrifwch y tystysgrifau yn yr allbwn. Mae cadwyn anghyflawn yno yn atgyweiriad ar ochr y gweinydd. Mae cadwyn gyflawn yn symud y cwestiwn at y cleient a’i angorau, lle nad oes gan y gweinydd bleidlais.

Beth mae archwiliad TLS yn ei newid mewn gwirionedd

Mae teclyn archwilio’n terfynu sesiwn TLS ochr y cleient ac yn agor sesiwn ar wahân i’r gwasanaeth go iawn. Yna mae’r cleient yn dilysu tystysgrif y teclyn, sy’n rhaid cadwyno i angor y mae’r cleient yn ymddiried ynddo. Dyna pam mae dyfeisiau a reolir yn cael gwraidd yr archwiliad trwy reoli dyfeisiau, a dyna pam mae dyfais bersonol hebddi yn dangos rhybudd.

Mae’r trefniant yn fwriadol ac yn lleol. Nid oes dim yng nghadwyn y gweinydd gwreiddiol a all orfodi porwr heb ei reoli i dderbyn yr hunaniaeth amnewid, ac nid oes dim ynddi yn atal dyfais a reolir rhag gwneud hynny.

Nid yw terfynu VPN yn ddadgyfrifo HTTPS

Mae haen VPN yn cludo pecynnau rhwng cleient a phorth. Nid yw ei thynnu, na darllen ei chyfluniad, yn datguddio llwyth HTTPS y tu mewn.

Mae’r sesiwn TLS yn dal i redeg rhwng y porwr a’r gweinydd gwe, gyda’r un rheolau dilysu, oni bai bod rhywbeth yn ei therfynu’n benodol. Mae cymysgu’r ddwy haen yn creu cais i weinyddwr y VPN ddarparu’r dystysgrif, tra bod y dystysgrif dan sylw yn perthyn i brocsi archwilio neu i’r safle ei hun. Gofynnwch pa gydran sy’n cyflwyno’r dystysgrif cyn newid unrhyw storfa ymddiriedolaeth.

Gosodwch y disgwyliadau yn y gydran a reolwch

Os ydych yn gweithredu’r cymhwysiad a’i gleient, diffiniwch gyda’i gilydd yr hunaniaeth gwasanaeth ddisgwyliedig, yr ysgrifennwyr a dderbynnir, ac unrhyw ofyniad pinio neu ddilysu cleient. Cynlluniwch adnewyddu ac adfer fel na fydd newid tystysgrif dilys yn dod yn amhariad. Os mai dim ond y gweinydd cyhoeddus a reolwch, dogfennwch ba ddilysu rydych yn ei fynnu a pha amgylcheddau cleient a gefnogwch. Nid yw anfon cadwyn a ffefrir yn ardystio dyfais dieithryn.

Ar offer a reolir, datryswch anghydnawsedd trwy berchnogion y cymhwysiad a’r rhwydwaith. Nid yw analluogi dilysu, ychwanegu gwraidd heb esboniad, neu geisio goroesi polisi archwilio yn sefydlu’r berthynas gyfoed a fwriedir.

Profwch y canlyniad ar broffil cleient glân, nid ar y peiriant lle’r ychwanegwyd eithriad yn barod. Dyna’r unig wirio sy’n dangos profiad dyfais newydd.