Сервердің сертификат тізбегі клиенттің сенім қоймасын ауыстыра ала ма?

Браузер тізбегі толық сайтта сертификат туралы ескерту көрсетеді, ал бірінші инстинкт — серверді түзету. Әдетте сервер дәл болуы керек нәрсені ұсынады. Клиент қандай анкорларды қабылдайтынын өзі шешеді, ал аралық сертификаттардың ешбір реті бұл шешімді қосылымның екінші ұшынан өзгерте алмайды. Бұл шекара сертификат мәселесіне ұқсайтын нәрсенің көп бөлігін түсіндіреді.

Тексеру клиентте, клиенттің анкорларымен жүреді

Жолды тексеру ұсынылған сертификаттарды алып, тексеру жүйесінде бұрыннан бар сенім анкорына дейін тізбек құрады. RFC 5280 осы модельді сипаттайды және анкор таңдауын серверге емес, жергілікті іске асыруға қалдырады. Қолданба өз саясатын үстіне қоса алады: бекітілген кілт, кәсіпорындық сенім қоймасы, немесе қатаңырақ сәйкестік тексеруі. Сервер жіберетін сертификат тізімі сол процеске ұсынылған дәлел, оған ешқашан нұсқау емес.

Сонымен, толық тізбек серверде бөліктер бар екенін дәлелдейді. Ол клиенттің оларды қабылдайтынын дәлелдемейді.

Сервердің нақты нені жіберетінін көру үшін мынаны орындаңыз: openssl s_client -connect app.example.net:443 -servername app.example.net -showcerts және шығыстағы сертификаттарды санаңыз. Ондағы толық емес тізбек — сервер жағындағы түзету. Толық тізбек мәселені клиент пен оның анкорларына ауыстырады, онда сервердің дауысы жоқ.

TLS тексеруі шын мәнінде нені өзгертеді

Тексеру құрылғысы клиент жағындағы TLS сессиясын аяқтап, нақты қызметке бөлек сессия ашады. Содан кейін клиент құрылғының сертификатын тексереді, ол клиент сенетін анкорға дейін жалғасуы керек. Сондықтан басқарылатын құрылғылар тексеру түбірін құрылғыны басқару арқылы алады, және сондықтан онысыз жеке құрылғы ескерту көрсетеді.

Орналасу әдейі және жергілікті. Бастапқы сервердің тізбегінде ешнәрсе басқарылмайтын браузерді алмастырушы сәйкестікті қабылдауға мәжбүрлей алмайды, және онда ешнәрсе басқарылатын құрылғыға бұған кедергі жасамайды.

VPN-ді аяқтау HTTPS-ті шешу емес

VPN қабаты пакеттерді клиент пен шлюз арасында тасымалдайды. Оны алып тастау немесе конфигурациясын оқу ішіндегі HTTPS жүктемесін ашпайды.

TLS сессиясы әлі де браузер мен веб-сервер арасында, сол тексеру ережелерімен жүреді, егер бірдеңе оны анық аяқтамаса. Екі қабатты шатастыру VPN әкімшісінен сертификатты беруді сұрауға әкеледі, ал мәселедегі сертификат тексеру проксиіне немесе сайттың өзіне тиесілі. Кез келген сенім қоймасын өзгерту алдында қай компонент сертификатты ұсынып тұрғанын сұраңыз.

Күтулерді өзіңіз басқаратын компонентте белгілеңіз

Егер қолданбаны және оның клиентін басқарсаңыз, күтілетін қызмет сәйкестігін, қабылданатын шығарушыларды және кез келген бекіту немесе клиенттік аутентификация талабын бірге анықтаңыз. Жаңарту мен қалпына келтіруді заңды сертификат өзгерісі үзіліске айналмайтындай жоспарлаңыз. Егер тек қоғамдық серверді басқарсаңыз, қандай аутентификация талап ететініңізді және қандай клиент орталарын қолдайтыныңызды құжаттаңыз. Таңдаулы тізбекті жіберу бөтен адамның құрылғысын куәландырмайды.

Басқарылатын жабдықта үйлесімсіздікті қолданба және желі иелері арқылы шешіңіз. Тексеруді өшіру, түсіндірілмеген түбір қосу немесе тексеру саясатынан асып кетуге тырысу көзделген әріптестік қатынасты орнатпайды.

Нәтижені таза клиент профилінде сынаңыз, ерекшелік бұрын қосылған машинада емес. Жаңа құрылғының нені бастан кешіретінін көрсететін жалғыз тексеру осы.