సర్వర్ సర్టిఫికెట్ చైన్ క్లయింట్ ట్రస్ట్ స్టోర్ను అధిగమించగలదా?
పూర్తి చైన్ ఒక రుజువు, ఆదేశం కాదు. ధృవీకరణ క్లయింట్లో దాని స్వంత యాంకర్లతో జరుగుతుంది, కాబట్టి ఏ సర్వర్ కూడా నమ్మక నిర్ణయాన్ని బలవంతం చేయలేదు.
చైన్ పూర్తిగా ఉన్న సైట్లో బ్రౌజర్ సర్టిఫికెట్ హెచ్చరికను చూపిస్తుంది, మరియు మొదటి ప్రవృత్తి సర్వర్ను సరిచేయడం. సాధారణంగా సర్వర్ చేయాల్సినదాన్ని సరిగ్గా ప్రదర్శిస్తుంది. ఏ యాంకర్లను అంగీకరించాలో క్లయింట్ నిర్ణయిస్తుంది, మరియు మధ్యంతర సర్టిఫికెట్ల ఏ అమరిక కూడా కనెక్షన్ రెండవ చివర నుండి ఆ నిర్ణయాన్ని మార్చలేదు. సర్టిఫికెట్ సమస్యలా కనిపించే దానిలో ఎక్కువ భాగాన్ని ఈ హద్దు వివరిస్తుంది.
ధృవీకరణ క్లయింట్లో, క్లయింట్ యాంకర్లతో జరుగుతుంది
పాత్ ధృవీకరణ ప్రదర్శించిన సర్టిఫికెట్లను తీసుకుని, ధృవీకరణ వ్యవస్థకు ఇప్పటికే ఉన్న ట్రస్ట్ యాంకర్ వరకు చైన్ను నిర్మిస్తుంది. RFC 5280 ఆ నమూనాను వివరిస్తుంది, మరియు యాంకర్ ఎంపికను సర్వర్ వద్ద కాకుండా స్థానిక అమలు వద్ద ఉంచుతుంది. అప్లికేషన్ తన స్వంత విధానాన్ని దానిపై జోడించవచ్చు: పిన్ చేసిన కీ, ఎంటర్ప్రైజ్ ట్రస్ట్ స్టోర్, లేదా మరింత కఠినమైన గుర్తింపు తనిఖీ. సర్వర్ పంపే సర్టిఫికెట్ జాబితా ఆ ప్రక్రియకు అందించే రుజువు, దానికి ఎప్పటికీ ఆదేశం కాదు.
కాబట్టి పూర్తి చైన్ సర్వర్ వద్ద భాగాలు ఉన్నాయని రుజువు చేస్తుంది. క్లయింట్ వాటిని అంగీకరిస్తుందని రుజువు చేయదు.
సర్వర్ వాస్తవంగా ఏమి పంపుతుందో చూడటానికి, ఇది అమలు చేయండి openssl s_client -connect app.example.net:443 -servername app.example.net -showcerts మరియు అవుట్పుట్లో సర్టిఫికెట్లను లెక్కించండి. అక్కడ అసంపూర్ణ చైన్ సర్వర్ వైపు సరిచేయడం. పూర్తి చైన్ ప్రశ్నను క్లయింట్ మరియు దాని యాంకర్ల వద్దకు మారుస్తుంది, అక్కడ సర్వర్కు ఓటు లేదు.
TLS తనిఖీ వాస్తవంగా ఏమి మారుస్తుంది
తనిఖీ పరికరం క్లయింట్ వైపు TLS సెషన్ను ముగించి, నిజమైన సేవకు వేరే సెషన్ను తెరుస్తుంది. తరువాత క్లయింట్ పరికరం సర్టిఫికెట్ను ధృవీకరిస్తుంది, అది క్లయింట్ నమ్మే యాంకర్ వరకు చైన్ అయి ఉండాలి. అందుకే నిర్వహించే పరికరాలు పరికర నిర్వహణ ద్వారా తనిఖీ మూలాన్ని పొందుతాయి, అందుకే అది లేని వ్యక్తిగత పరికరం హెచ్చరికను చూపిస్తుంది.
ఏర్పాటు ఉద్దేశపూర్వకమైనది మరియు స్థానికమైనది. అసలు సర్వర్ చైన్లో ఏదీ నిర్వహించని బ్రౌజర్ను ప్రత్యామ్నాయ గుర్తింపును అంగీకరించమని బలవంతం చేయలేదు, మరియు అందులో ఏదీ నిర్వహించే పరికరాన్ని అలా చేయకుండా ఆపదు.
VPN ముగింపు HTTPS డీక్రిప్షన్ కాదు
VPN పొర క్లయింట్ మరియు గేట్వే మధ్య ప్యాకెట్లను తీసుకువెళుతుంది. దాన్ని తొలగించడం, లేదా దాని కాన్ఫిగరేషన్ను చదవడం, లోపలి HTTPS పేలోడ్ను బయటపెట్టదు.
TLS సెషన్ ఇప్పటికీ బ్రౌజర్ మరియు వెబ్ సర్వర్ మధ్య, అదే ధృవీకరణ నియమాలతో నడుస్తుంది, ఏదైనా దాన్ని స్పష్టంగా ముగించకపోతే. రెండు పొరలను కలపడం VPN నిర్వాహకుడిని సర్టిఫికెట్ అందించమని అభ్యర్థించడానికి దారితీస్తుంది, అయితే ప్రశ్నలోని సర్టిఫికెట్ తనిఖీ ప్రాక్సీది లేదా సైట్దే. ఏదైనా ట్రస్ట్ స్టోర్ను మార్చే ముందు ఏ భాగం సర్టిఫికెట్ను ప్రదర్శిస్తుందో అడగండి.
మీరు నియంత్రించే భాగంలో అంచనాలను నిర్ణయించండి
మీరు అప్లికేషన్ మరియు దాని క్లయింట్ను నిర్వహిస్తే, ఆశించిన సేవా గుర్తింపు, అంగీకరించిన జారీచేసేవారు మరియు ఏదైనా పిన్నింగ్ లేదా క్లయింట్ ప్రామాణీకరణ అవసరాన్ని కలిసి నిర్వచించండి. చట్టబద్ధమైన సర్టిఫికెట్ మార్పు అంతరాయం కాకుండా నవీకరణ మరియు పునరుద్ధరణను ప్రణాళిక చేయండి. మీరు పబ్లిక్ సర్వర్ను మాత్రమే నిర్వహిస్తే, ఏ ప్రామాణీకరణ అవసరమో మరియు ఏ క్లయింట్ వాతావరణాలకు మద్దతు ఇస్తారో డాక్యుమెంట్ చేయండి. ఇష్టమైన చైన్ను పంపడం అపరిచితుడి పరికరాన్ని ధృవీకరించదు.
నిర్వహించే పరికరాలపై, అననుకూలతను అప్లికేషన్ మరియు నెట్వర్క్ యజమానుల ద్వారా పరిష్కరించండి. ధృవీకరణను ఆఫ్ చేయడం, వివరణ లేని మూలాన్ని జోడించడం, లేదా తనిఖీ విధానాన్ని అధిగమించడానికి ప్రయత్నించడం ఉద్దేశించిన సహచర సంబంధాన్ని ఏర్పాటు చేయవు.
ఫలితాన్ని శుభ్రమైన క్లయింట్ ప్రొఫైల్పై పరీక్షించండి, ఇప్పటికే మినహాయింపు జోడించిన మెషీన్పై కాదు. కొత్త పరికరం ఏమి అనుభవిస్తుందో చూపించే ఏకైక తనిఖీ అదే.