Tista’ katina ta’ ċertifikati tas-server taqbeż il-maħżen tal-fiduċja tal-klijent?

Il-browser juri twissija ta’ ċertifikat fuq sit li l-katina tiegħu hija sħiħa, u l-ewwel istint huwa li jissewwa s-server. Normalment is-server jippreżenta eżatt dak li għandu. Il-klijent jiddeċiedi liema ankri jaċċetta, u l-ebda arranġament ta’ ċertifikati intermedji ma jista’ jbiddel dik id-deċiżjoni mill-bqija tal-konnessjoni. Dak il-limitu jispjega l-biċċa l-kbira ta’ dak li jidher bħala problema ta’ ċertifikat.

Il-validazzjoni ssir fuq il-klijent, bl-ankri tal-klijent

Il-validazzjoni tal-passaġġ tieħu ċ-ċertifikati ppreżentati u tibni katina sa ankr ta’ fiduċja li s-sistema tal-validazzjoni diġà għandha. RFC 5280 jiddeskrivi dak il-mudell, u jqiegħed l-għażla tal-ankr fl-implimentazzjoni lokali u mhux fis-server. Applikazzjoni tista’ żżid il-politika tagħha stess fuqha: ċavetta ffissata, maħżen tal-fiduċja tal-intrapriża, jew verifika tal-identità aktar stretta. Il-lista ta’ ċertifikati li jibgħat server hija prova offruta lil dak il-proċess, qatt ma hija struzzjoni lilu.

Għalhekk katina sħiħa tipprova li s-server għandu l-biċċiet. Ma tipprovax li l-klijent se jaċċettahom.

Biex tara x’jibgħat tassew is-server, ħaddem openssl s_client -connect app.example.net:443 -servername app.example.net -showcerts u għodd iċ-ċertifikati fl-output. Katina mhux sħiħa hemmhekk hija tiswija minn naħa s-server. Katina sħiħa tittrasferixxi l-mistoqsija lill-klijent u lill-ankri tiegħu, fejn is-server m’għandu l-ebda vot.

X’jibdel tassew l-ispezzjoni TLS

Apparat tal-ispezzjoni jtemm is-sessjoni TLS minn naħa l-klijent u jiftaħ sessjoni separata lejn is-servizz reali. Il-klijent imbagħad jivvalida ċ-ċertifikat tal-apparat, li jrid ikun marbut ma’ ankr li l-klijent jafda. Huwa għalhekk li apparati mmexxija jirċievu l-għerq tal-ispezzjoni permezz tal-ġestjoni tal-apparat, u għalhekk apparat personali mingħajru juri twissija.

L-arranġament huwa intenzjonat u lokali. Xejn fil-katina tas-server oriġinali ma jista’ jġiegħel browser mhux immexxi jaċċetta l-identità sostituta, u xejn fiha ma jwaqqaf apparat immexxi milli jagħmel dan.

It-temm tal-VPN mhux diżifrar tal-HTTPS

Saff VPN iġorr pakketti bejn klijent u gateway. It-tneħħija tiegħu, jew il-qari tal-konfigurazzjoni tiegħu, ma jesponix tagħbija HTTPS ġewwa.

Is-sessjoni TLS għadha għaddejja bejn il-browser u s-server tal-web, bl-istess regoli tal-validazzjoni, sakemm xi ħaġa ma ttemmha b’mod espliċitu. It-taħwid taż-żewġ saffi joħloq talba lill-amministratur tal-VPN biex jipprovdi ċ-ċertifikat, filwaqt li ċ-ċertifikat inkwistjoni jappartjeni lil proxy tal-ispezzjoni jew lis-sit stess. Staqsi liema komponent qed jippreżenta ċ-ċertifikat qabel ma tibdel kwalunkwe maħżen tal-fiduċja.

Issettja l-aspettattivi fil-komponent li tikkontrolla

Jekk tmexxi l-applikazzjoni u l-klijent tagħha, iddefinixxi flimkien l-identità tas-servizz mistennija, il-ħarriġa aċċettati u kwalunkwe rekwiżit ta’ tqabbid jew awtentikazzjoni tal-klijent. Ippjana t-tiġdid u l-irkupru sabiex bidla leġittima ta’ ċertifikat ma ssirx waqfien. Jekk tmexxi biss is-server pubbliku, iddokumenta liema awtentikazzjoni teħtieġ u liema ambjenti tal-klijent tappoġġja. Li tibgħat katina preferuta ma tiċċertifikax l-apparat ta’ barrani.

Fuq tagħmir immexxi, issolvi l-inkompatibilità permezz tas-sidien tal-applikazzjoni u tan-netwerk. L-iżattivar tal-verifika, iż-żieda ta’ għerq mhux spjegat, jew l-attentat li taqbeż politika tal-ispezzjoni ma jistabbilixxux ir-relazzjoni bejn il-pari mahsuba.

Ittestja r-riżultat fuq profil tal-klijent nadif, mhux fuq il-magna fejn diġà ġiet miżjuda eċċezzjoni. Din hija l-unika verifika li turi x’se jesperjenza apparat ġdid.