Maaari bang lampasan ng chain ng certificate ng server ang trust store ng client?

Nagpapakita ang browser ng babala sa certificate sa isang site na kumpleto ang chain, at ang unang instinct ay ayusin ang server. Karaniwan, ang server ay nagpapakita ng eksaktong dapat nitong ipakita. Ang client ang nagpapasya kung aling anchor ang tatanggapin, at walang pagkakaayos ng mga intermediate na certificate ang makapagbabago sa desisyong iyon mula sa kabilang dulo ng koneksyon. Ipinapaliwanag ng hangganang iyon ang karamihan sa mga mukhang problema sa certificate.

Nangyayari ang validation sa client, gamit ang mga anchor ng client

Kinukuha ng path validation ang mga ipinakitang certificate at gumagawa ng chain hanggang sa anchor ng pagtitiwala na taglay na ng validation system. Inilalarawan ng RFC 5280 ang modelong iyon, at inilalagay nito ang pagpili ng anchor sa lokal na implementasyon, hindi sa server. Maaaring magdagdag ang application ng sarili nitong patakaran sa ibabaw: isang naka-pin na key, isang trust store ng enterprise, o isang mas mahigpit na pagsusuri ng pagkakakilanlan. Ang listahan ng certificate na ipinapadala ng server ay ebidensyang inaalok sa prosesong iyon, hindi kailanman utos dito.

Kaya pinapatunayan ng kumpletong chain na may mga piraso ang server. Hindi nito pinapatunayan na tatanggapin ng client ang mga ito.

Para makita kung ano ang aktwal na ipinapadala ng server, patakbuhin ang openssl s_client -connect app.example.net:443 -servername app.example.net -showcerts at bilangin ang mga certificate sa output. Ang hindi kumpletong chain doon ay pag-aayos sa panig ng server. Ang kumpletong chain ay naglilipat ng tanong sa client at sa mga anchor nito, kung saan walang boto ang server.

Ano ang aktwal na binabago ng TLS inspection

Tinatapos ng inspection appliance ang TLS session sa panig ng client at nagbubukas ng hiwalay na session sa tunay na serbisyo. Pagkatapos ay vine-validate ng client ang certificate ng appliance, na dapat mag-chain hanggang sa anchor na pinagkakatiwalaan ng client. Iyon ang dahilan kung bakit ang mga managed device ay tumatanggap ng inspection root sa pamamagitan ng device management, at kung bakit ang personal na device na wala nito ay nagpapakita ng babala.

Ang kaayusan ay sinadya at lokal. Wala sa chain ng orihinal na server ang makapipilit sa isang unmanaged na browser na tanggapin ang kapalit na pagkakakilanlan, at wala rin dito ang pumipigil sa isang managed na device na gawin iyon.

Ang VPN termination ay hindi HTTPS decryption

Nagdadala ang VPN layer ng mga packet sa pagitan ng client at gateway. Ang pag-alis nito, o pagbasa ng configuration nito, ay hindi nagbubunyag ng HTTPS payload sa loob.

Ang TLS session ay tumatakbo pa rin sa pagitan ng browser at web server, gamit ang parehong mga tuntunin ng validation, maliban kung may tahasang magtapos nito. Ang paghahalo ng dalawang layer ay lumilikha ng kahilingan sa administrator ng VPN na ibigay ang certificate, gayong ang certificate na pinag-uusapan ay pag-aari ng inspection proxy o ng site mismo. Itanong kung aling bahagi ang nagpapakita ng certificate bago baguhin ang anumang trust store.

Itakda ang mga inaasahan sa bahaging kontrolado mo

Kung pinapatakbo mo ang application at ang client nito, tukuyin nang magkasama ang inaasahang pagkakakilanlan ng serbisyo, ang mga tinatanggap na issuer, at anumang pangangailangan sa pinning o client authentication. Planuhin ang renewal at recovery upang ang lehitimong pagbabago ng certificate ay hindi maging outage. Kung ang pampublikong server lang ang pinapatakbo mo, idokumento kung anong authentication ang kailangan mo at kung aling mga client environment ang sinusuportahan mo. Ang pagpapadala ng ginustong chain ay hindi nagpapatunay ng device ng estranghero.

Sa managed na kagamitan, lutasin ang incompatibility sa pamamagitan ng mga may-ari ng application at network. Ang pag-disable ng verification, pagdaragdag ng hindi maipaliwanag na root, o pagtatangkang lampasan ang patakaran ng inspection ay hindi nagtatatag ng inaasahang ugnayan ng peer.

Subukan ang resulta sa malinis na client profile, hindi sa machine kung saan naidagdag na ang exception. Iyon lang ang tseke na nagpapakita kung ano ang mararanasan ng bagong device.