Is-sit web qed juri ċ-ċertifikat ħażin? Sib il-listener

L-installazzjoni ta' software VPN fuq web host tista' tirranġa mill-ġdid is-servizzi, iżda ċertifikat mhux mistenni ma jipprovax li l-fajls Apache ġew miktuba mill-ġdid. Xi ħaġa ppreżentat dak iċ-ċertifikat lill-browser tiegħek, u l-ewwel kompitu huwa li tagħtih isem. Sakemm il-listener u l-host virtwali jiġu identifikati, kull tiswija hija rabta applikata lis-saff ħażin. Il-verifika kollha hawn taħt hija biss qari.

Xejn ma jerġa' jibda, jiġi installat ħażin jew miktub mill-ġdid waqt li tiġbor il-fatti li jiddeċiedu l-każ.

Aqra ċ-ċertifikat li l-browser fil-fatt ħa

Irreġistra l-isem tal-host, l-indirizz solvut għal kull familja, il-port u d-dettalji taċ-ċertifikat li l-browser ilmenta dwarhom. Isem li jiġi solvut kemm f'rekord A kif ukoll f'AAAA jista' jilħaq żewġ fronti differenti, u wieħed biss minnhom jista' jkun il-host li għalih għandek aċċess tal-shell. Browser wara proxy jista' jerġa' jieħu tielet triq. Li taqta' u tħawwad liema minnhom ipproduċa t-twissija taħli l-unika osservazzjoni li għandek.

Imbagħad erġa' pproduċi l-handshake minn magna fuq l-istess triq, semmi l-indirizz b'mod espliċitu u ibgħat l-isem tas-server maħsub biex it-tweġiba tirrifletti s-sit u mhux il-host default.

openssl s_client -connect 198.51.100.37:443 -servername www.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -fingerprint -sha256 -ext subjectAltName

Qabbel l-ismijiet alternattivi tas-suġġett u l-marka tal-swaba' maċ-ċertifikat li tistenna, u mhux ma' emittent magħruf. Li tikkonnettja ma' indirizz mikxuf mingħajr l-isem tas-server jista' jagħżel ċertifikat default, li mbagħad jidher bħall-fajl ħażin meta fil-fatt tkun il-mistoqsija ħażina.

Identifika l-proċess marbut ma' dak il-port

Fuq il-host li għandu jirċievi l-konnessjoni, elenka l-listeners u noti l-indirizz tal-bind, il-familja tal-indirizzi u s-sid tal-proċess. Servizz marbut mal-indirizz tal-loopback mhuwiex l-istess bħal wieħed marbut ma' kull interface, u pubblikazzjoni ta' container tista' tpoġġi l-listener pubbliku x'imkien ieħor għal kollox.

sudo ss -ltnp 'sport = :443'
sudo ss -ltnp | grep -E ':(443|943)\b'

Jekk TLS jiġi terminat minn load balancer jew proxy quddiem, waqaf hawn u spezzjona dak il-front minflok. L-istanza Apache warajh forsi qatt ma tippreżenta ċertifikat lil browser pubbliku, għalhekk l-editjar tal-konfigurazzjoni tagħha ma jbiddel xejn minn dak li jara l-browser. Il-veduta tas-sockets u l-handshake estern iridu jiddeskrivu l-istess triq, u dan huwa dak li jistabbilixxi dan il-paragun.

Qabbel il-host virtwali qabel il-fajl

Meta Apache huwa t-terminatur, staqsih liema host virtwali jirbaħ għal dak l-indirizz u dak l-isem. Il-kmand ta' kontroll jipprintja l-qafas effektiv, inkluż il-grupp imqabbel ma' kull socket, l-ismijiet tas-server iddikjarati u l-host li jiġi trattat bħala default. L-editjar ta' fajl taċ-ċertifikat mingħajr dik it-tweġiba huwa kif is-sit ħażin jiġi servut minn fajl korrett.

sudo apachectl -S

Il-Mistoqsijiet Komuni dwar SSL ta' Apache jispjegaw kif l-indikazzjoni tal-isem tas-server tagħżel ċertifikat. L-intestatura Host tal-HTTP tasal wara l-handshake u ma tistax tibdel retroattivament dak li diġà ġie ppreżentat, għalhekk isem li ma jaqbilx jew nieqes jerġa' lura għall-host default.

Host virtwali msemmi bi żball tipografiku f'ServerAlias jipproduċi eżatt dan is-sintomu, u l-istess jagħmel tieni fajl ta' konfigurazzjoni li jgħabbi l-ewwel host li jaqbad kollox. It-tnejn huma viżibbli f'dik il-lista tal-qafas.

Ivverifika t-tiswija fuq kull triq li tallega

Wara bidla approvata, erġa' agħmel il-verifika speċifika għall-isem tal-host għal kull familja ta' indirizzi u iffi finalizza bil-validazzjoni ordinarja tal-browser minflok b'bandiera ta' qbiż. Ippreserva triq amministrattiva separata qabel ma tmiss settings kondiviżi tal-listener, għax żball hemmhekk ineħħi l-aċċess li kont tuża biex tħassru. Imbagħad ikteb liema listener wieġeb, liema host virtwali qabel u liema ċertifikat ġie servut qabel u wara.

It-tneħħija ta' pakkett tista' tbiddel il-qafas u tħalli l-inkonsistenza oriġinali mingħajr spjegazzjoni, u għalhekk dak ir-rekord jgħix iktar mit-tiswija.

Dak li trid huwa s-sit maħsub fil-punt tad-dħul maħsub. Ċertifikat differenti wara li servizz mhux relatat sparixxa mhuwiex dak ir-riżultat, anki meta l-browser jieqaf jilmenta.