Կարո՞ղ է սերվերի վկայագրերի շղթան վերացնել հաճախորդի վստահության պահոցը։
Ամբողջական շղթան ապացույց է, ոչ հրահանգ։ Ստուգումը կատարվում է հաճախորդի վրա՝ իր իսկ խարիսխներով, ուստի ոչ մի սերվեր չի կարող պարտադրել վստահության որոշում։
Զննարկիչը վկայագրի նախազգուշացում է ցուցադրում այն կայքում, որի շղթան ամբողջական է, և առաջին բնազդը սերվերը ուղղելն է։ Սովորաբար սերվերը ներկայացնում է հենց այն, ինչ պետք է։ Հաճախորդը որոշում է, թե որ խարիսխներն է ընդունում, և միջանկյալ վկայագրերի ոչ մի դասավորություն չի կարող փոխել այդ որոշումը կապի մյուս ծայրից։ Այդ սահմանը բացատրում է այն ամենի մեծ մասը, ինչը վկայագրի խնդիր է թվում։
Ստուգումը կատարվում է հաճախորդի վրա՝ հաճախորդի խարիսխներով
Ուղու ստուգումը վերցնում է ներկայացված վկայագրերը և շղթա կառուցում մինչև վստահության խարիսխ, որն արդեն ունի ստուգող համակարգը։ RFC 5280-ը նկարագրում է այդ մոդելը և խարիսխի ընտրությունը դնում է տեղական իրականացման, այլ ոչ սերվերի վրա։ Հավելվածը կարող է իր սեփական քաղաքականությունը դնել դրա վրա՝ ամրացված բանալի, ձեռնարկության վստահության պահոց, կամ ավելի խիստ ինքնության ստուգում։ Սերվերի ուղարկած վկայագրերի ցանկն ապացույց է, որն առաջարկվում է այդ գործընթացին, երբեք հրահանգ նրան։
Այսպիսով, ամբողջական շղթան ապացուցում է, որ սերվերն ունի մասերը։ Այն չի ապացուցում, որ հաճախորդը կընդունի դրանք։
Տեսնելու, թե ինչ է իրականում ուղարկում սերվերը, գործարկեք openssl s_client -connect app.example.net:443 -servername app.example.net -showcerts և հաշվեք ելքի վկայագրերը։ Այնտեղ թերի շղթան սերվերի կողմի ուղղում է։ Ամբողջական շղթան հարցը տեղափոխում է հաճախորդի և նրա խարիսխների մոտ, որտեղ սերվերը ձայն չունի։
Ինչ է իրականում փոխում TLS-ի ստուգումը
Ստուգման սարքը դադարեցնում է հաճախորդի կողմի TLS նստաշրջանը և առանձին նստաշրջան բացում դեպի իրական ծառայությունը։ Այնուհետև հաճախորդը ստուգում է սարքի վկայագիրը, որը պետք է շղթայվի խարիսխի, որին հաճախորդը վստահում է։ Դրա համար է, որ կառավարվող սարքերը ստանում են ստուգման արմատը սարքի կառավարման միջոցով, և դրա համար է, որ առանց դրա անձնական սարքը նախազգուշացում է ցուցադրում։
Դասավորությունը դիտավորյալ և տեղական է։ Ոչինչ բնօրինակ սերվերի շղթայում չի կարող ստիպել չկառավարվող զննարկիչին ընդունել փոխարինող ինքնությունը, և ոչինչ դրանում չի խանգարում կառավարվող սարքին դա անել։
VPN-ի ավարտը HTTPS-ի ապակոդավորում չէ
VPN շերտը փաթեթներ է տեղափոխում հաճախորդի և դարպասի միջև։ Այն հեռացնելը կամ դրա կազմաձևը կարդալը չի բացահայտում ներսի HTTPS բեռնվածքը։
TLS նստաշրջանը դեռ ընթանում է զննարկիչի և վեբ սերվերի միջև՝ նույն ստուգման կանոններով, եթե ինչ-որ բան բացահայտորեն չի ավարտում այն։ Երկու շերտերի շփոթումը ստեղծում է հարցում VPN ադմինիստրատորին՝ տրամադրելու վկայագիրը, մինչդեռ խնդրո առարկա վկայագիրը պատկանում է ստուգման պրոքսիին կամ հենց կայքին։ Հարցրեք, թե որ բաղադրիչն է ներկայացնում վկայագիրը, նախքան վստահության որևէ պահոց փոխելը։
Սահմանեք սպասելիքները ձեր վերահսկած բաղադրիչում
Եթե դուք շահագործում եք հավելվածը և դրա հաճախորդը, միասին սահմանեք սպասվող ծառայության ինքնությունը, ընդունված թողարկողները և ամրացման կամ հաճախորդի նույնականացման ցանկացած պահանջ։ Պլանավորեք նորացումը և վերականգնումը այնպես, որ օրինական վկայագրի փոփոխությունը չվերածվի ընդհատման։ Եթե շահագործում եք միայն հանրային սերվերը, փաստաթղթավորեք, թե ինչ նույնականացում եք պահանջում և ինչ հաճախորդային միջավայրեր եք աջակցում։ Նախընտրելի շղթա ուղարկելը չի հավաստագրում անծանոթի սարքը։
Կառավարվող սարքավորումների վրա անհամատեղելիությունը լուծեք հավելվածի և ցանցի պատասխանատուների միջոցով։ Ստուգումն անջատելը, անբացատրելի արմատ ավելացնելը կամ ստուգման քաղաքականությունը շրջանցելու փորձը չեն հաստատում նախատեսված գործընկերային հարաբերությունը։
Փորձարկեք արդյունքը մաքուր հաճախորդային պրոֆիլում, ոչ այն մեքենայում, որտեղ արդեն բացառություն է ավելացվել։ Սա միակ ստուգումն է, որը ցույց է տալիս, թե ինչ կզգա նոր սարքը։