Gaindi dezake zerbitzariaren ziurtagiri-kateak bezeroaren konfiantza-biltegiratzea?

Nabigatzaileak ziurtagiri-abisua erakusten du katea osoa duen gune batean, eta lehen bulkada zerbitzaria konpontzea da. Normalean zerbitzariak behar duena zehazki aurkezten du. Bezeroak erabakitzen du zein aingura onartzen dituen, eta bitarteko ziurtagirien edozein antolamenduk ezin du erabaki hori konexioaren beste muturretik aldatu. Muga horrek ziurtagiri-arazo baten itxura duenaren zatirik handiena azaltzen du.

Baliozkotzea bezeroan egiten da, bezeroaren aingurekin

Bide-baliozkotzeak aurkeztutako ziurtagiriak hartzen ditu eta baliozkotze-sistemak jada duen konfiantza-aingura bateraino katea eraikitzen du. RFC 5280k eredu hori deskribatzen du, eta ainguraren hautaketa tokiko ezarpenean kokatzen du, ez zerbitzarian. Aplikazio batek bere politika propioa gehi dezake gainean: giltza finkatua, enpresako konfiantza-biltegiratze bat, edo identitate-egiaztapen zorrotzago bat. Zerbitzari batek bidaltzen duen ziurtagiri-zerrenda prozesu horri eskainitako froga da, inoiz ez hari zuzendutako argibidea.

Beraz, kate osoak frogatzen du zerbitzariak piezak dituela. Ez du frogatzen bezeroak onartuko dituenik.

Zerbitzariak benetan zer bidaltzen duen ikusteko, exekutatu openssl s_client -connect app.example.net:443 -servername app.example.net -showcerts eta zenbatu irteerako ziurtagiriak. Hango kate osatugabea zerbitzariaren aldeko konponketa da. Kate osoak galdera bezeroarengana eta bere ainguretara eramaten du, non zerbitzariak ez baitu botorik.

Zer aldatzen duen TLS ikuskapenak benetan

Ikuskapen-gailu batek bezeroaren aldeko TLS saioa amaitzen du eta zerbitzu errealarekiko saio bereizi bat irekitzen du. Ondoren bezeroak gailuaren ziurtagiria baliozkotzen du, eta horrek bezeroak konfiantza duen aingura batera kateatu behar du. Horregatik jasotzen dute kudeatutako gailuek ikuskapen-erroa gailu-kudeaketaren bidez, eta horregatik erakusten du hura gabe dagoen gailu pertsonalak abisua.

Antolamendua nahita eta tokikoa da. Jatorrizko zerbitzariaren katean ezerk ezin du kudeatu gabeko nabigatzaile bat ordezko identitatea onartzera behartu, eta ezerk ez dio kudeatutako gailu bati hori egitea eragozten.

VPN amaitzea ez da HTTPS deszifratzea

VPN geruza batek paketeak eramaten ditu bezero baten eta atebide baten artean. Hura kentzeak, edo haren konfigurazioa irakurtzeak, ez du barruko HTTPS karga agerian uzten.

TLS saioa oraindik nabigatzailearen eta web zerbitzariaren artean doa, baliozkotze-arau berberekin, ezerk berariaz amaitzen ez badu. Bi geruzak nahasteak VPN administratzaileari ziurtagiria emateko eskaera sortzen du, ziurtagiri hori ikuskapen-proxy bati edo guneari berari dagokionean. Galdetu zein osagai ari den ziurtagiria aurkezten edozein konfiantza-biltegiratze aldatu aurretik.

Ezarri itxaropenak kontrolatzen duzun osagaian

Aplikazioa eta haren bezeroa kudeatzen badituzu, definitu elkarrekin espero den zerbitzu-identitatea, onartutako jaulkitzaileak eta finkatze- edo bezero-autentikazio-baldintza oro. Planifikatu berritzea eta berreskuratzea, ziurtagiri-aldaketa zilegi bat etena bihur ez dadin. Zerbitzari publikoa soilik kudeatzen baduzu, dokumentatu zer autentikazio eskatzen duzun eta zein bezero-ingurune onartzen dituzun. Kate hobetsia bidaltzeak ez du ezezagun baten gailua ziurtatzen.

Kudeatutako ekipamenduetan, konpondu bateraezintasuna aplikazioaren eta sarearen jabeen bidez. Egiaztapena desgaitzeak, azalpenik gabeko erro bat gehitzeak edo ikuskapen-politika bat gainditzen saiatzeak ez du aurreikusitako pareko harremana ezartzen.

Probatu emaitza bezero-profil garbi batean, salbuespen bat jada gehitu zaion makinan ez. Hori da gailu berri batek zer esperientzia izango duen erakusten duen egiaztapen bakarra.