Felülírhatja a szerver tanúsítványlánca az ügyfél bizalmi tárolóját?

A böngésző tanúsítványfigyelmeztetést mutat egy olyan oldalon, amelynek lánca teljes, és az első ösztön a kiszolgáló javítása. A kiszolgáló általában pontosan azt mutatja be, amit kell. Az ügyfél dönti el, mely horgonyokat fogadja el, és a köztes tanúsítványok semmilyen elrendezése nem változtathatja meg ezt a döntést a kapcsolat másik végéről. Ez a határ magyarázza a legtöbbet abból, ami tanúsítványproblémának látszik.

Az érvényesítés az ügyfélen fut, az ügyfél horgonyaival

Az útvonal-érvényesítés veszi a bemutatott tanúsítványokat, és láncot épít egy olyan bizalmi horgonyig, amellyel az érvényesítő rendszer már rendelkezik. Az RFC 5280 ezt a modellt írja le, és a horgony kiválasztását a helyi megvalósításhoz rendeli, nem a kiszolgálóhoz. Egy alkalmazás saját szabályzatot tehet fölé: rögzített kulcs, vállalati bizalmi tároló, vagy szigorúbb identitásellenőrzés. A kiszolgáló által küldött tanúsítványlista bizonyíték, amelyet annak a folyamatnak ajánlanak fel, soha nem utasítás neki.

Tehát a teljes lánc azt bizonyítja, hogy a kiszolgálónál megvannak a darabok. Nem bizonyítja, hogy az ügyfél elfogadja őket.

Ha látni akarja, mit küld valójában a kiszolgáló, futtassa a openssl s_client -connect app.example.net:443 -servername app.example.net -showcerts parancsot, és számolja meg a tanúsítványokat a kimenetben. A hiányos lánc ott kiszolgálóoldali javítás. A teljes lánc a kérdést az ügyfélhez és annak horgonyaihoz helyezi át, ahol a kiszolgálónak nincs szavazata.

Mit változtat valójában a TLS-vizsgálat

Egy vizsgáló berendezés lezárja az ügyféloldali TLS-munkamenetet, és külön munkamenetet nyit a valódi szolgáltatás felé. Az ügyfél ezután érvényesíti a berendezés tanúsítványát, amelynek olyan horgonyig kell láncolódnia, amelyben az ügyfél megbízik. Ezért kapják a felügyelt eszközök a vizsgálati gyökérsertifikátot eszközkezelésen keresztül, és ezért mutat figyelmeztetést az e nélküli személyes eszköz.

Az elrendezés szándékos és helyi. Semmi az eredeti kiszolgáló láncában nem kényszeríthet egy nem felügyelt böngészőt a helyettesítő identitás elfogadására, és semmi benne nem akadályozza meg a felügyelt eszközt ebben.

A VPN lezárása nem HTTPS-visszafejtés

A VPN-réteg csomagokat szállít az ügyfél és az átjáró között. Eltávolítása vagy konfigurációjának olvasása nem tár fel HTTPS-terhelést belül.

A TLS-munkamenet továbbra is a böngésző és a webkiszolgáló között fut, ugyanazokkal az érvényesítési szabályokkal, hacsak valami kifejezetten le nem zárja. A két réteg összekeverése azt eredményezi, hogy a VPN-rendszergazdától kérik a tanúsítvány biztosítását, holott a szóban forgó tanúsítvány egy vizsgáló proxyhoz vagy magához az oldalhoz tartozik. Kérdezze meg, melyik komponens mutatja be a tanúsítványt, mielőtt bármilyen bizalmi tárolót módosít.

Határozza meg az elvárásokat az Ön által vezérelt komponensben

Ha az alkalmazást és annak ügyfelét üzemelteti, együtt határozza meg az elvárt szolgáltatásidentitást, az elfogadott kiadókat és a rögzítésre vagy ügyfél-hitelesítésre vonatkozó követelményeket. Tervezze meg a megújítást és a helyreállítást, hogy egy jogszerű tanúsítványcsere ne váljon kieséssé. Ha csak a nyilvános kiszolgálót üzemelteti, dokumentálja, milyen hitelesítést követel meg, és mely ügyfélkörnyezeteket támogatja. Az előnyben részesített lánc elküldése nem hitelesíti egy idegen eszközét.

Felügyelt berendezéseken az összeférhetetlenséget az alkalmazás és a hálózat tulajdonosain keresztül oldja fel. Az ellenőrzés kikapcsolása, egy megmagyarázatlan gyökér hozzáadása vagy a vizsgálati szabályzat kijátszására tett kísérlet nem hozza létre a szándékolt társviszonyt.

Tesztelje az eredményt tiszta ügyfélprofilon, ne azon a gépen, ahol már hozzáadtak kivételt. Csak ez az ellenőrzés mutatja meg, mit fog tapasztalni egy új eszköz.