Серверийн гэрчилгээний гинжин хэлхээ клиентийн итгэлцлийн санг дарж чадах уу?

Хөтөч нь гинж нь бүрэн байгаа сайт дээр гэрчилгээний анхааруулга харуулах бөгөөд эхний зөн совин нь серверийг засах байдаг. Ихэвчлэн сервер яг хийх ёстой зүйлээ үзүүлдэг. Аль зангууг хүлээн авахыг клиент өөрөө шийддэг бөгөөд завсрын гэрчилгээний ямар ч зохион байгуулалт энэ шийдвэрийг холболтын нөгөө үзүүрээс өөрчилж чадахгүй. Энэ хил нь гэрчилгээний асуудал мэт харагдах зүйлийн ихэнхийг тайлбарладаг.

Баталгаажуулалт клиент дээр, клиентийн зангуугаар явагдана

Зам баталгаажуулалт нь танилцуулсан гэрчилгээг авч, баталгаажуулалтын системд аль хэдийн байгаа итгэлцлийн зангуу хүртэл гинж бүтээдэг. RFC 5280 энэ загварыг тодорхойлдог бөгөөд зангууны сонголтыг серверт биш, локал хэрэгжүүлэлтэд үлдээдэг. Аппликешн өөрийн бодлогыг дээр нь нэмж болно: бэхэлсэн түлхүүр, аж ахуйн нэгжийн итгэлцлийн сан, эсвэл илүү хатуу иргэний үнэмлэх шалгалт. Серверийн илгээдэг гэрчилгээний жагсаалт нь тэр процесст санал болгож буй нотолгоо бөгөөд хэзээ ч түүнд өгөх заавар биш.

Тиймээс бүрэн гинж нь серверт хэсгүүд байгааг нотолдог. Клиент тэдгээрийг хүлээн авна гэдгийг нотолдоггүй.

Сервер үнэндээ юу илгээж байгааг харахын тулд дараахыг ажиллуулна уу: openssl s_client -connect app.example.net:443 -servername app.example.net -showcerts ба гаралтын гэрчилгээг тоолно уу. Тэнд дутуу гинж нь серверийн талын засвар юм. Бүрэн гинж нь асуултыг клиент болон түүний зангуу руу шилжүүлдэг бөгөөд тэнд серверт санал өгөх эрх байхгүй.

TLS шалгалт үнэндээ юуг өөрчилдөг

Шалгалтын төхөөрөмж нь клиентийн талын TLS сессийг дуусгаж, бодит үйлчилгээ рүү тусдаа сесс нээнэ. Дараа нь клиент төхөөрөмжийн гэрчилгээг баталгаажуулдаг бөгөөд энэ нь клиентийн итгэдэг зангуу хүртэл гинжилсэн байх ёстой. Тиймээс удирдлагатай төхөөрөмжүүд шалгалтын үндсийг төхөөрөмжийн удирдлагаар авдаг бөгөөд тиймээс түүнгүй хувийн төхөөрөмж анхааруулга харуулдаг.

Зохион байгуулалт нь санаатай бөгөөд локал юм. Анхны серверийн гинжид юу ч удирдлагагүй хөтчийг орлуулах таних тэмдгийг хүлээн авахыг тулгаж чадахгүй бөгөөд түүнд юу ч удирдлагатай төхөөрөмжийг үүнийг хийхээс сэргийлэхгүй.

VPN-ийг дуусгах нь HTTPS-ийг тайлах биш

VPN давхарга нь клиент болон гарцын хооронд пакет зөөдөг. Үүнийг арилгах эсвэл тохиргоог нь унших нь доторх HTTPS ачааг илрүүлэхгүй.

TLS сесс нь хөтөч болон вэб серверийн хооронд ижил баталгаажуулалтын дүрмээр үргэлжилсээр байна, хэрэв ямар нэг зүйл үүнийг тодорхой дуусгахгүй бол. Хоёр давхаргыг холих нь VPN администратороос гэрчилгээ өгөхийг хүсэхэд хүргэдэг боловч тухайн гэрчилгээ нь шалгалтын прокси эсвэл сайтад хамаардаг. Аливаа итгэлцлийн санг өөрчлөхөөс өмнө аль бүрэлдэхүүн гэрчилгээг танилцуулж байгааг асуугаарай.

Хүлээлтийг өөрийн хянадаг бүрэлдэхүүнд тодорхойл

Хэрэв та аппликешн болон түүний клиентийг ажиллуулдаг бол хүлээгдэж буй үйлчилгээний таних тэмдэг, хүлээн зөвшөөрөгдөх олгогч, бэхлэлт эсвэл клиентийн баталгаажуулалтын шаардлагыг хамт тодорхойл. Хууль ёсны гэрчилгээний өөрчлөлт тасалдал болохгүйн тулд шинэчлэлт, сэргээлтийг төлөвлө. Хэрэв зөвхөн нийтийн серверийг ажиллуулдаг бол ямар баталгаажуулалт шаардаж, ямар клиентийн орчинг дэмждэгээ баримтжуул. Дуртай гинжийг илгээх нь танихгүй хүний төхөөрөмжийг гэрчлэхгүй.

Удирдлагатай тоног төхөөрөмж дээр үл нийцлийг аппликешн болон сүлжээний эзэмшигчдээр шийдвэрлэ. Баталгаажуулалтыг унтраах, тайлбаргүй үндэс нэмэх, эсвэл шалгалтын бодлогыг даван туулах оролдлого нь зорьсон түншийн харилцааг тогтоохгүй.

Үр дүнг цэвэр клиентийн профайл дээр туршаад үз, онцгой тохиолдол аль хэдийн нэмсэн машинд биш. Шинэ төхөөрөмж юу туулахыг харуулах цорын ганц шалгалт энэ.