Сервердин сертификат тизмеги кардардын ишеним кампасын алмаштыра алабы?

Браузер тизмеги толук сайтта сертификат тууралуу эскертүү көрсөтөт, ал эми биринчи инстинкт — серверди оңдоо. Адатта сервер так эмнени сунуштоо керек болсо, ошону сунуштайт. Кардар кайсы анкорлорду кабыл аларын өзү чечет, ал эми ортоңку сертификаттардын эч бир жайгашуусу бул чечимди туташуунун экинчи учунан өзгөртө албайт. Бул чек сертификат маселесине окшогон нерсенин көп бөлүгүн түшүндүрөт.

Текшерүү кардарда, кардардын анкорлору менен жүрөт

Жолду текшерүү сунушталган сертификаттарды алып, текшерүү системасында мурунтан бар ишеним анкоруна чейин тизмек курат. RFC 5280 ушул модельди сүрөттөйт жана анкор тандоону серверге эмес, жергиликтүү ишке ашырууга калтырат. Колдонмо өз саясатын үстүнө кошо алат: бекитилген ачкыч, ишканалык ишеним кампасы, же катаалыраак инсандык текшерүү. Сервер жөнөткөн сертификаттардын тизмеси ошол процесске сунушталган далил, ага эч качан буйрук эмес.

Ошентип, толук тизмек серверде бөлүктөр бар экенин далилдейт. Ал кардар аларды кабыл аларын далилдебейт.

Сервер чындыгында эмне жөнөтөрүн көрүү үчүн, төмөнкүнү иштетиңиз: openssl s_client -connect app.example.net:443 -servername app.example.net -showcerts жана чыгарылыштагы сертификаттарды санаңыз. Ал жердеги толук эмес тизмек — сервер тараптагы оңдоо. Толук тизмек маселени кардарга жана анын анкорлоруна өткөрөт, ал жерде сервердин үнү жок.

TLS текшерүүсү чындыгында эмнени өзгөртөт

Текшерүү түзмөгү кардар тараптагы TLS сессиясын бүтүрүп, чыныгы кызматка өзүнчө сессия ачат. Андан кийин кардар түзмөктүн сертификатын текшерет, ал кардар ишенген анкорго чейин уланышы керек. Ошондуктан башкарылуучу түзмөктөр текшерүү тамырын түзмөктү башкаруу аркылуу алышат, жана ошондуктан ансыз жеке түзмөк эскертүү көрсөтөт.

Жайгашуу атайын жана жергиликтүү. Баштапкы сервердин тизмегинде эч нерсе башкарылбаган браузерди алмаштыруучу инсандыкты кабыл алууга мажбурлай албайт, жана анда эч нерсе башкарылуучу түзмөккө муну кылууга тоскоол болбойт.

VPNди бүтүрүү HTTPSти чечүү эмес

VPN катмары пакеттерди кардар менен шлюздун ортосунда ташыйт. Аны алып салуу же конфигурациясын окуу ичиндеги HTTPS жүктөмүн ачпайт.

TLS сессиясы дагы эле браузер менен веб-сервердин ортосунда, ошол эле текшерүү эрежелери менен жүрөт, эгер бир нерсе аны ачык бүтүрбөсө. Эки катмарды аралаштыруу VPN администраторунан сертификатты берүүнү суроого алып келет, бирок сөз болуп жаткан сертификат текшерүү проксисине же сайттын өзүнө таандык. Кайсы компонент сертификатты сунуштап жатканын сураңыз, кандайдыр бир ишеним кампасын өзгөртүүнүн алдында.

Күтүүлөрдү өзүңүз көзөмөлдөгөн компонентте белгилеңиз

Эгер колдонмону жана анын кардарын башкарсаңыз, күтүлгөн кызмат инсандыгын, кабыл алынуучу чыгаруучуларды жана бекитүү же кардар аутентификациясынын талабын чогуу аныктаңыз. Жаңыртууну жана калыбына келтирүүнү мыйзамдуу сертификат өзгөрүүсү үзгүлтүккө айланбай тургандай пландаңыз. Эгер бир гана коомдук серверди башкарсаңыз, кандай аутентификация талап кыларыңызды жана кандай кардар чөйрөлөрүн колдой турганыңызды документтештириңиз. Тандалган тизмекти жөнөтүү бөтөн адамдын түзмөгүн күбөлөндүрбөйт.

Башкарылуучу жабдууда шайкешсиздикти колдонмо жана тармак ээлери аркылуу чечиңиз. Текшерүүнү өчүрүү, түшүндүрүлбөгөн тамыр кошуу же текшерүү саясатынан ашып кетүүгө умтулуу көздөлгөн өнөктөштүк мамилени орнотпойт.

Жыйынтыкты таза кардар профилинде сынаңыз, эскертүү мурун кошулган машинада эмес. Жаңы түзмөк эмнени башынан өткөрөрүн көрсөткөн жалгыз текшерүү ушул.