ਕੀ ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਚੇਨ ਕਲਾਇੰਟ ਦੇ ਟਰੱਸਟ ਸਟੋਰ ਨੂੰ ਬਾਈਪਾਸ ਕਰ ਸਕਦੀ ਹੈ?

ਬ੍ਰਾਊਜ਼ਰ ਉਸ ਸਾਈਟ ਉੱਤੇ ਸਰਟੀਫਿਕੇਟ ਚੇਤਾਵਨੀ ਦਿਖਾਉਂਦਾ ਹੈ ਜਿਸ ਦੀ ਚੇਨ ਪੂਰੀ ਹੈ, ਅਤੇ ਪਹਿਲੀ ਪ੍ਰਵਿਰਤੀ ਸਰਵਰ ਨੂੰ ਠੀਕ ਕਰਨ ਦੀ ਹੁੰਦੀ ਹੈ। ਆਮ ਤੌਰ ਉੱਤੇ ਸਰਵਰ ਉਹੀ ਪੇਸ਼ ਕਰ ਰਿਹਾ ਹੁੰਦਾ ਹੈ ਜੋ ਉਸ ਨੂੰ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। ਕਲਾਇੰਟ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਕਿਹੜੇ ਐਂਕਰ ਸਵੀਕਾਰ ਕਰਨੇ ਹਨ, ਅਤੇ ਵਿਚਕਾਰਲੇ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਕੋਈ ਵੀ ਵਿਵਸਥਾ ਕਨੈਕਸ਼ਨ ਦੇ ਦੂਜੇ ਸਿਰੇ ਤੋਂ ਇਹ ਫੈਸਲਾ ਨਹੀਂ ਬਦਲ ਸਕਦੀ। ਇਹ ਸੀਮਾ ਉਸ ਬਹੁਤੇ ਹਿੱਸੇ ਦੀ ਵਿਆਖਿਆ ਕਰਦੀ ਹੈ ਜੋ ਸਰਟੀਫਿਕੇਟ ਸਮੱਸਿਆ ਵਰਗਾ ਲੱਗਦਾ ਹੈ।

ਪ੍ਰਮਾਣਿਕਤਾ ਕਲਾਇੰਟ ਉੱਤੇ ਚੱਲਦੀ ਹੈ, ਕਲਾਇੰਟ ਦੇ ਐਂਕਰਾਂ ਨਾਲ

ਪਾਥ ਪ੍ਰਮਾਣਿਕਤਾ ਪੇਸ਼ ਕੀਤੇ ਸਰਟੀਫਿਕੇਟ ਲੈਂਦੀ ਹੈ ਅਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਪ੍ਰਣਾਲੀ ਕੋਲ ਪਹਿਲਾਂ ਹੀ ਮੌਜੂਦ ਭਰੋਸਾ ਐਂਕਰ ਤੱਕ ਚੇਨ ਬਣਾਉਂਦੀ ਹੈ। RFC 5280 ਉਸ ਮਾਡਲ ਦਾ ਵਰਣਨ ਕਰਦਾ ਹੈ, ਅਤੇ ਐਂਕਰ ਦੀ ਚੋਣ ਸਰਵਰ ਕੋਲ ਨਹੀਂ ਬਲਕਿ ਸਥਾਨਕ ਲਾਗੂਕਰਨ ਕੋਲ ਰੱਖਦਾ ਹੈ। ਐਪਲੀਕੇਸ਼ਨ ਆਪਣੀ ਨੀਤੀ ਉੱਤੇ ਜੋੜ ਸਕਦੀ ਹੈ: ਪਿੰਨ ਕੀਤੀ ਚਾਬੀ, ਇੱਕ ਐਂਟਰਪ੍ਰਾਈਜ਼ ਟਰੱਸਟ ਸਟੋਰ, ਜਾਂ ਵਧੇਰੇ ਸਖ਼ਤ ਪਛਾਣ ਜਾਂਚ। ਸਰਵਰ ਜੋ ਸਰਟੀਫਿਕੇਟ ਸੂਚੀ ਭੇਜਦਾ ਹੈ ਉਹ ਉਸ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਦਿੱਤਾ ਸਬੂਤ ਹੈ, ਉਸ ਲਈ ਕਦੇ ਵੀ ਹਦਾਇਤ ਨਹੀਂ।

ਇਸ ਲਈ ਪੂਰੀ ਚੇਨ ਸਾਬਤ ਕਰਦੀ ਹੈ ਕਿ ਸਰਵਰ ਕੋਲ ਟੁਕੜੇ ਹਨ। ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰਦੀ ਕਿ ਕਲਾਇੰਟ ਉਨ੍ਹਾਂ ਨੂੰ ਸਵੀਕਾਰ ਕਰੇਗਾ।

ਸਰਵਰ ਅਸਲ ਵਿੱਚ ਕੀ ਭੇਜਦਾ ਹੈ ਇਹ ਵੇਖਣ ਲਈ, ਇਹ ਚਲਾਓ openssl s_client -connect app.example.net:443 -servername app.example.net -showcerts ਅਤੇ ਆਉਟਪੁੱਟ ਵਿੱਚ ਸਰਟੀਫਿਕੇਟ ਗਿਣੋ। ਉੱਥੇ ਅਧੂਰੀ ਚੇਨ ਸਰਵਰ-ਪਾਸੇ ਦੀ ਸੋਧ ਹੈ। ਪੂਰੀ ਚੇਨ ਸਵਾਲ ਨੂੰ ਕਲਾਇੰਟ ਅਤੇ ਉਸ ਦੇ ਐਂਕਰਾਂ ਕੋਲ ਭੇਜਦੀ ਹੈ, ਜਿੱਥੇ ਸਰਵਰ ਦਾ ਕੋਈ ਵੋਟ ਨਹੀਂ।

TLS ਨਿਰੀਖਣ ਅਸਲ ਵਿੱਚ ਕੀ ਬਦਲਦਾ ਹੈ

ਨਿਰੀਖਣ ਯੰਤਰ ਕਲਾਇੰਟ-ਪਾਸੇ ਦਾ TLS ਸੈਸ਼ਨ ਖਤਮ ਕਰਦਾ ਹੈ ਅਤੇ ਅਸਲ ਸੇਵਾ ਨਾਲ ਵੱਖਰਾ ਸੈਸ਼ਨ ਖੋਲ੍ਹਦਾ ਹੈ। ਫਿਰ ਕਲਾਇੰਟ ਯੰਤਰ ਦੇ ਸਰਟੀਫਿਕੇਟ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਕਰਦਾ ਹੈ, ਜੋ ਕਲਾਇੰਟ ਦੇ ਭਰੋਸੇਯੋਗ ਐਂਕਰ ਤੱਕ ਚੇਨਬੱਧ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। ਇਸੇ ਲਈ ਪ੍ਰਬੰਧਿਤ ਯੰਤਰ ਯੰਤਰ ਪ੍ਰਬੰਧਨ ਰਾਹੀਂ ਨਿਰੀਖਣ ਰੂਟ ਪ੍ਰਾਪਤ ਕਰਦੇ ਹਨ, ਅਤੇ ਇਸੇ ਲਈ ਇਸ ਤੋਂ ਬਿਨਾਂ ਨਿੱਜੀ ਯੰਤਰ ਚੇਤਾਵਨੀ ਦਿਖਾਉਂਦਾ ਹੈ।

ਇਹ ਪ੍ਰਬੰਧ ਜਾਣਬੁੱਝ ਕੇ ਅਤੇ ਸਥਾਨਕ ਹੈ। ਮੂਲ ਸਰਵਰ ਦੀ ਚੇਨ ਵਿੱਚ ਕੁਝ ਵੀ ਗੈਰ-ਪ੍ਰਬੰਧਿਤ ਬ੍ਰਾਊਜ਼ਰ ਨੂੰ ਬਦਲਵੀਂ ਪਛਾਣ ਸਵੀਕਾਰ ਕਰਨ ਲਈ ਮਜਬੂਰ ਨਹੀਂ ਕਰ ਸਕਦਾ, ਅਤੇ ਇਸ ਵਿੱਚ ਕੁਝ ਵੀ ਪ੍ਰਬੰਧਿਤ ਯੰਤਰ ਨੂੰ ਅਜਿਹਾ ਕਰਨ ਤੋਂ ਨਹੀਂ ਰੋਕਦਾ।

VPN ਅੰਤ HTTPS ਡੀਕ੍ਰਿਪਸ਼ਨ ਨਹੀਂ ਹੈ

VPN ਪਰਤ ਕਲਾਇੰਟ ਅਤੇ ਗੇਟਵੇ ਵਿਚਕਾਰ ਪੈਕਟ ਲੈ ਜਾਂਦੀ ਹੈ। ਇਸ ਨੂੰ ਹਟਾਉਣਾ, ਜਾਂ ਇਸ ਦੀ ਸੰਰਚਨਾ ਪੜ੍ਹਨਾ, ਅੰਦਰਲਾ HTTPS ਪੇਲੋਡ ਜ਼ਾਹਰ ਨਹੀਂ ਕਰਦਾ।

TLS ਸੈਸ਼ਨ ਅਜੇ ਵੀ ਬ੍ਰਾਊਜ਼ਰ ਅਤੇ ਵੈੱਬ ਸਰਵਰ ਵਿਚਕਾਰ, ਉਹੀ ਪ੍ਰਮਾਣਿਕਤਾ ਨਿਯਮਾਂ ਨਾਲ ਚੱਲਦਾ ਹੈ, ਜਦੋਂ ਤੱਕ ਕੁਝ ਇਸ ਨੂੰ ਸਪੱਸ਼ਟ ਤੌਰ ਉੱਤੇ ਖਤਮ ਨਹੀਂ ਕਰਦਾ। ਦੋ ਪਰਤਾਂ ਨੂੰ ਮਿਲਾਉਣ ਨਾਲ VPN ਪ੍ਰਬੰਧਕ ਨੂੰ ਸਰਟੀਫਿਕੇਟ ਦੇਣ ਦੀ ਬੇਨਤੀ ਬਣਦੀ ਹੈ, ਜਦੋਂ ਕਿ ਸਵਾਲ ਵਾਲਾ ਸਰਟੀਫਿਕੇਟ ਨਿਰੀਖਣ ਪ੍ਰੌਕਸੀ ਜਾਂ ਸਾਈਟ ਦਾ ਆਪਣਾ ਹੁੰਦਾ ਹੈ। ਕੋਈ ਵੀ ਟਰੱਸਟ ਸਟੋਰ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਪੁੱਛੋ ਕਿ ਕਿਹੜਾ ਹਿੱਸਾ ਸਰਟੀਫਿਕੇਟ ਪੇਸ਼ ਕਰ ਰਿਹਾ ਹੈ।

ਤੁਸੀਂ ਜਿਸ ਹਿੱਸੇ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰਦੇ ਹੋ ਉਸ ਵਿੱਚ ਉਮੀਦਾਂ ਤੈਅ ਕਰੋ

ਜੇ ਤੁਸੀਂ ਐਪਲੀਕੇਸ਼ਨ ਅਤੇ ਇਸ ਦਾ ਕਲਾਇੰਟ ਚਲਾਉਂਦੇ ਹੋ, ਤਾਂ ਉਮੀਦ ਕੀਤੀ ਸੇਵਾ ਪਛਾਣ, ਸਵੀਕਾਰ ਕੀਤੇ ਜਾਰੀਕਰਤਾ ਅਤੇ ਕੋਈ ਵੀ ਪਿੰਨਿੰਗ ਜਾਂ ਕਲਾਇੰਟ ਪ੍ਰਮਾਣਿਕਤਾ ਦੀ ਲੋੜ ਇਕੱਠੇ ਪਰਿਭਾਸ਼ਿਤ ਕਰੋ। ਨਵੀਨੀਕਰਨ ਅਤੇ ਰਿਕਵਰੀ ਦੀ ਯੋਜਨਾ ਇਸ ਤਰ੍ਹਾਂ ਬਣਾਓ ਕਿ ਜਾਇਜ਼ ਸਰਟੀਫਿਕੇਟ ਬਦਲਾਅ ਰੁਕਾਵਟ ਨਾ ਬਣੇ। ਜੇ ਤੁਸੀਂ ਸਿਰਫ਼ ਜਨਤਕ ਸਰਵਰ ਚਲਾਉਂਦੇ ਹੋ, ਤਾਂ ਦਸਤਾਵੇਜ਼ ਕਰੋ ਕਿ ਕਿਹੜੀ ਪ੍ਰਮਾਣਿਕਤਾ ਲੋੜੀਂਦੀ ਹੈ ਅਤੇ ਕਿਹੜੇ ਕਲਾਇੰਟ ਵਾਤਾਵਰਣ ਸਮਰਥਿਤ ਹਨ। ਪਸੰਦੀਦਾ ਚੇਨ ਭੇਜਣਾ ਕਿਸੇ ਅਜਨਬੀ ਦੇ ਯੰਤਰ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਨਹੀਂ ਕਰਦਾ।

ਪ੍ਰਬੰਧਿਤ ਉਪਕਰਣਾਂ ਉੱਤੇ, ਅਸੰਗਤੀ ਨੂੰ ਐਪਲੀਕੇਸ਼ਨ ਅਤੇ ਨੈੱਟਵਰਕ ਮਾਲਕਾਂ ਰਾਹੀਂ ਹੱਲ ਕਰੋ। ਪ੍ਰਮਾਣਿਕਤਾ ਬੰਦ ਕਰਨਾ, ਬਿਨਾਂ ਵਿਆਖਿਆ ਵਾਲਾ ਰੂਟ ਜੋੜਨਾ, ਜਾਂ ਨਿਰੀਖਣ ਨੀਤੀ ਨੂੰ ਪਛਾੜਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਨਾ ਇੱਛਤ ਸਾਥੀ ਸਬੰਧ ਸਥਾਪਿਤ ਨਹੀਂ ਕਰਦਾ।

ਨਤੀਜਾ ਸਾਫ਼ ਕਲਾਇੰਟ ਪ੍ਰੋਫਾਈਲ ਉੱਤੇ ਪਰਖੋ, ਉਸ ਮਸ਼ੀਨ ਉੱਤੇ ਨਹੀਂ ਜਿੱਥੇ ਪਹਿਲਾਂ ਹੀ ਅਪਵਾਦ ਜੋੜਿਆ ਗਿਆ ਹੈ। ਇਹੀ ਇੱਕੋ ਜਾਂਚ ਹੈ ਜੋ ਦਿਖਾਉਂਦੀ ਹੈ ਕਿ ਨਵਾਂ ਯੰਤਰ ਕੀ ਅਨੁਭਵ ਕਰੇਗਾ।