Kann eng Server-Zertifikatskette de Vertrauensspäicher vum Client iwwerschreiden?

E Browser weist eng Zertifikatswarnung op enger Säit, där hir Kette vollstänneg ass, an den éischten Instinkt ass de Server ze flécken. Meeschtens presentéiert de Server genee dat, wat en soll. De Client entscheet, wéi eng Anker en akzeptéiert, an keng Arrangement vun Tëschenzertifikate kann déi Entscheedung vum aneren Enn vun der Verbindung aus änneren. Déi Grenz erkläert de gréissten Deel vun deem, wat wéi e Zertifikatsproblem ausgesäit.

D’Validatioun leeft um Client, mat den Ankere vum Client

D’Padvalidatioun hëlt déi presentéiert Zertifikater a baut eng Kette bis zu engem Vertrauensanker, deen de Validatiounssystem schonn huet. RFC 5280 beschreift dee Modell, an et setzt d’Ankerwahl bei déi lokal Implementatioun an net beim Server. Eng Applikatioun kann hir eege Politik driwwer leeën: eng fixéiert Schlëssel, en Entreprise-Vertrauensspäicher, oder eng méi strikt Identitéitskontroll. D’Lëscht vun Zertifikater, déi e Server schéckt, ass e Beweis, deen deem Prozess ugebuede gëtt, ni eng Instruktioun un en.

Also beweist eng vollstänneg Kette, datt de Server d’Deeler huet. Si beweist net, datt de Client se akzeptéiere wäert.

Fir ze gesinn, wat de Server tatsächlech schéckt, féiert openssl s_client -connect app.example.net:443 -servername app.example.net -showcerts aus a zielt d’Zertifikater an der Ausgab. Eng onvollstänneg Kette do ass eng Korrektioun op der Serversäit. Eng vollstänneg Kette verréckelt d’Fro op de Client a seng Ankeren, wou de Server keng Stëmm huet.

Wat d’TLS-Inspektioun tatsächlech ännert

En Inspektiounsapparat beendet d’TLS-Sessioun op der Clientsäit an opent eng separat Sessioun zum richtege Service. De Client validéiert da säin Zertifikat, dat bis zu engem Anker misst verkette ginn, deem de Client vertraut. Dofir kréien verwalt Geräter d’Inspektiounswurzel iwwer Geräteverwaltung, an dofir weist en personaliséiert Gerät ouni se eng Warnung.

D’Arrangement ass bewosst a lokal. Näischt an der Kette vum urspréngleche Server kann en net-verwalte Browser forcéieren, d’Ersatzidentitéit ze akzeptéieren, an näischt dran hënnert e verwalt Gerät drun.

VPN-Terminatioun ass keng HTTPS-Entschlësselung

Eng VPN-Schicht transportéiert Paketen tëscht engem Client an engem Gateway. Se ewechhuelen, oder hir Konfiguratioun liesen, deckt keng HTTPS-Lieschtung dobannen op.

D’TLS-Sessioun leeft weider tëscht dem Browser an dem Webserver, mat deene selwechte Validatiounsregelen, ausser et mécht eppes ausdrécklech Schluss. D’Verwiessele vun den zwou Schichten féiert zu enger Ufro un den VPN-Administrator, den Zertifikat ze liwweren, woubäi den Zertifikat a Fro zu engem Inspektiounsproxy oder zu der Säit selwer gehéiert. Frot, wéi eng Komponent den Zertifikat presentéiert, ier dir en Vertrauensspäicher ännert.

Setzt Erwaardungen an der Komponent, déi dir kontrolléiert

Wann dir d’Applikatioun an hire Client bedreift, definéiert zesummen déi erwaart Service-Identitéit, déi akzeptéiert Aussteller an all Ufuerderung fir Pinning oder Client-Authentifikatioun. Plangt Erneierung a Wiederherstellung, sou datt eng legitim Zertifikatsännerung keen Ausfall gëtt. Wann dir nëmmen de öffentleche Server bedreift, dokumentéiert wéi eng Authentifikatioun dir verlaangt a wéi eng Client-Ëmfelder dir ënnerstëtzt. Eng bevorzugt Kette schécken zertifizéiert net d’Gerät vun engem Friemen.

Op verwaltem Material léist Inkompatibilitéit iwwer d’Applikatiouns- a Netzverantwortlecher. D’Validatioun ofschalten, eng onerkläert Wurzel derbäisetzen oder probéieren eng Inspektiounspolitik z’iwwerliewe stellt déi virgesinn Peer-Bezéiung net hier.

Test de Resultat op engem propere Client-Profil, net op der Maschinn, wou schonn eng Ausnam derbäigesat gouf. Dat ass déi eenzeg Iwwerpréiwung, déi weist, wat en neit Gerät erlieft.