Getur vottorðakeðja netþjóns hnekkt traustgeymslu biðlarans?

Vafri sýnir viðvörun um vottorð á vefsvæði þar sem keðjan er full, og fyrsta eðlishvöt er að laga netþjóninn. Venjulega kynnir netþjónninn nákvæmlega það sem hann á að gera. Biðlarinn ákveður hvaða viðmiðanir hann samþykkir, og ekkert fyrirkomulag millivottorða getur breytt þeirri ákvörðun frá hinum enda tengingarinnar. Þessi mörk útskýra mest af því sem lítur út eins og vottorðsvandamál.

Staðfesting fer fram hjá biðlaranum, með viðmiðunum biðlarans

Slóðastaðfesting tekur framlögðu vottorðin og byggir keðju að traustviðmiðun sem staðfestingarkerfið hefur þegar. RFC 5280 lýsir því líkani, og það setur val viðmiðunar hjá staðbundinni útfærslu frekar en netþjóninum. Forrit getur bætt eigin stefnu ofan á: festum lykli, fyrirtækjatraustgeymslu, eða strangari auðkennisathugun. Vottorðalistinn sem netþjónn sendir er sönnun sem boðið er upp á fyrir það ferli, aldrei fyrirmæli til þess.

Þannig sannar full keðja að netþjónninn hefur hlutana. Hún sannar ekki að biðlarinn muni samþykkja þá.

Til að sjá hvað netþjónninn sendir í raun, keyrðu openssl s_client -connect app.example.net:443 -servername app.example.net -showcerts og teldu vottorðin í úttakinu. Ófull keðja þar er lagfæring á netþjónshlið. Full keðja færir spurninguna til biðlarans og viðmiðana hans, þar sem netþjónninn hefur ekkert atkvæði.

Hvað TLS-skoðun breytir í raun

Skoðunartæki lýkur TLS-lotunni á biðlarahlið og opnar aðra lotu að raunverulegu þjónustunni. Biðlarinn staðfestir þá vottorð tækisins, sem verður að keðjast að viðmiðun sem biðlarinn treystir. Þess vegna fá stýrð tæki skoðunarótina í gegnum tækjastýringu, og þess vegna sýnir einkatæki án hennar viðvörun.

Fyrirkomulagið er viljandi og staðbundið. Ekkert í keðju upprunalega netþjónsins getur þvingað óstýrðan vafra til að samþykkja staðgengilauðkennið, og ekkert í henni kemur í veg fyrir að stýrt tæki geri það.

VPN-lokun er ekki HTTPS-afkóðun

VPN-lag flytur pakka milli biðlara og gáttar. Að fjarlægja það, eða lesa stillingar þess, afhjúpar ekki HTTPS-hleðslu inni.

TLS-lotan gengur enn milli vafrans og vefþjónsins, með sömu staðfestingarreglum, nema eitthvað endi hana skýrt. Að rugla saman lögunum tveimur veldur beiðni til VPN-stjórnandans um að útvega vottorðið, þótt vottorðið sem um ræðir tilheyri skoðunarumboði eða vefsvæðinu sjálfu. Spurðu hvaða eining kynnir vottorðið áður en þú breytir hvaða traustgeymslu sem er.

Stilltu væntingar í einingunni sem þú stjórnar

Ef þú rekur forritið og biðlara þess, skilgreindu saman vænt auðkenni þjónustunnar, samþykkt útgefendur og hverja kröfu um festingu eða biðlarastöðfestingu. Skipuleggðu endurnýjun og endurheimt þannig að lögmæt vottorðsbreyting verði ekki truflun. Ef þú rekur aðeins opinbera netþjóninn, skjalfestu hvaða staðfestingu þú krefst og hvaða biðlararúmhverfi þú styður. Að senda æskilega keðju vottorðar ekki tæki ókunnugs manns.

Á stýrðum búnaði skaltu leysa ósamrýmanleika í gegnum eigendur forrits og nets. Að slökkva á staðfestingu, bæta við óútskýrðri rót eða reyna að endast gegn skoðunarstefnu kemur ekki á tilætluðu jafningjasambandi.

Prófaðu niðurstöðuna á hreinu biðlarasniði, ekki á vélinni þar sem undantekningu var þegar bætt við. Það er eina athugunin sem sýnir hvað nýtt tæki mun upplifa.