Je, mnyororo wa vyeti vya seva unaweza kushinda hazina ya uaminifu ya mteja?

Kivinjari kinaonyesha onyo la cheti kwenye tovuti ambayo mnyororo wake umekamilika, na silika ya kwanza ni kurekebisha seva. Kwa kawaida seva huwasilisha kile hasa inachopaswa. Mteja huamua ni nanga zipi anazokubali, na hakuna mpangilio wa vyeti vya kati unaoweza kubadilisha uamuzi huo kutoka upande wa pili wa muunganisho. Mpaka huo unaeleza sehemu kubwa ya kile kinachoonekana kama tatizo la cheti.

Uthibitishaji hufanyika kwa mteja, na nanga za mteja

Uthibitishaji wa njia huchukua vyeti vilivyowasilishwa na hujenga mnyororo hadi nanga ya uaminifu ambayo mfumo wa uthibitishaji tayari unayo. RFC 5280 inaeleza mfano huo, na inaweka uchaguzi wa nanga kwa utekelezaji wa ndani badala ya seva. Programu inaweza kuongeza sera yake juu: ufunguo uliobandikwa, hazina ya uaminifu ya shirika, au ukaguzi mkali zaidi wa utambulisho. Orodha ya vyeti ambayo seva hutuma ni ushahidi unaotolewa kwa mchakato huo, kamwe si maagizo kwake.

Kwa hiyo mnyororo kamili unathibitisha kuwa seva ina vipande. Haithibitishi kuwa mteja atavikubali.

Ili kuona kile seva inatuma kwa kweli, endesha openssl s_client -connect app.example.net:443 -servername app.example.net -showcerts na uhesabu vyeti kwenye matokeo. Mnyororo usio kamili hapo ni marekebisho ya upande wa seva. Mnyororo kamili huhamisha swali kwa mteja na nanga zake, ambapo seva haina kura.

Kile ukaguzi wa TLS unabadilisha kwa kweli

Kifaa cha ukaguzi hukomesha kipindi cha TLS upande wa mteja na hufungua kipindi tofauti kwa huduma halisi. Mteja kisha huthibitisha cheti cha kifaa hicho, ambacho lazima kiwe na mnyororo hadi nanga anayoiamini mteja. Ndiyo sababu vifaa vinavyosimamiwa hupokea mzizi wa ukaguzi kupitia usimamizi wa kifaa, na ndiyo sababu kifaa binafsi kisicho nao kinaonyesha onyo.

Mpangilio huo ni wa makusudi na wa ndani. Hakuna kitu kwenye mnyororo wa seva ya asili kinachoweza kulazimisha kivinjari kisichosimamiwa kukubali utambulisho mbadala, na hakuna kitu ndani yake kinachozuia kifaa kinachosimamiwa kufanya hivyo.

Kumaliza VPN si kusimbua HTTPS

Tabaka la VPN husafirisha pakiti kati ya mteja na lango. Kuondoa tabaka hilo, au kusoma usanidi wake, hakufichui mzigo wa HTTPS ndani.

Kipindi cha TLS bado kinaendelea kati ya kivinjari na seva ya wavuti, na kanuni zilezile za uthibitishaji, isipokuwa kitu kikimaliza wazi. Kuchanganya tabaka mbili huzaa ombi kwa msimamizi wa VPN kutoa cheti, wakati cheti husika ni cha wakala wa ukaguzi au cha tovuti yenyewe. Uliza ni sehemu ipi inayowasilisha cheti kabla ya kubadilisha hazina yoyote ya uaminifu.

Weka matarajio kwenye sehemu unayodhibiti

Ikiwa unaendesha programu na mteja wake, fafanua kwa pamoja utambulisho wa huduma unaotarajiwa, watoaji wanaokubaliwa, na mahitaji yoyote ya kubandika au uthibitishaji wa mteja. Panga uboreshaji na urejeshaji ili mabadiliko halali ya cheti yasigeuke kuwa kizuizi. Ikiwa unaendesha seva ya umma pekee, andika ni uthibitishaji gani unahitaji na mazingira gani ya mteja unayaunga mkono. Kutuma mnyororo unaopendelea hakuidhinishi kifaa cha mgeni.

Kwenye vifaa vinavyosimamiwa, tatua kutokubaliana kupitia wamiliki wa programu na mtandao. Kuzima uthibitishaji, kuongeza mzizi usioelezwa, au kujaribu kuepuka sera ya ukaguzi hakuweki uhusiano unaokusudiwa wa wenza.

Jaribu matokeo kwenye wasifu safi wa mteja, si kwenye mashine ambayo ubaguzi umeongezwa tayari. Hiyo ndiyo ukaguzi pekee unaoonyesha kile kifaa kipya kitakachokumbana nacho.