Sunucu sertifika zinciri istemcinin güven deposunu geçersiz kılabilir mi?

Tarayıcı, zinciri tam olan bir sitede sertifika uyarısı gösterir ve ilk dürtü sunucuyu düzeltmektir. Genellikle sunucu tam olarak olması gerekeni sunar. Hangi çapaları kabul edeceğine istemci karar verir ve ara sertifikaların hiçbir düzeni bu kararı bağlantının diğer ucundan değiştiremez. Sertifika sorunu gibi görünen şeylerin çoğunu bu sınır açıklar.

Doğrulama istemcide, istemcinin çapalarıyla çalışır

Yol doğrulaması sunulan sertifikaları alır ve doğrulama sisteminin zaten sahip olduğu bir güven çapasına kadar zincir kurar. RFC 5280 bu modeli tanımlar ve çapa seçimini sunucuya değil yerel uygulamaya bırakır. Bir uygulama bunun üzerine kendi ilkesini ekleyebilir: sabitlenmiş bir anahtar, bir kurumsal güven deposu, veya daha sıkı bir kimlik denetimi. Sunucunun gönderdiği sertifika listesi o sürece sunulan bir kanıttır, ona asla talimat değildir.

Yani tam zincir sunucuda parçaların olduğunu kanıtlar. İstemcinin bunları kabul edeceğini kanıtlamaz.

Sunucunun gerçekte ne gönderdiğini görmek için şunu çalıştırın openssl s_client -connect app.example.net:443 -servername app.example.net -showcerts ve çıktıdaki sertifikaları sayın. Oradaki eksik zincir sunucu tarafında bir düzeltmedir. Tam zincir soruyu istemciye ve onun çapalarına taşır; orada sunucunun oyu yoktur.

TLS denetiminin gerçekte değiştirdiği şey

Bir denetim cihazı istemci tarafındaki TLS oturumunu sonlandırır ve gerçek hizmete ayrı bir oturum açar. İstemci ardından cihazın sertifikasını doğrular; bu sertifika istemcinin güvendiği bir çapaya zincirlenmelidir. Yönetilen cihazların denetim kökünü cihaz yönetimi üzerinden almasının ve onu taşımayan kişisel cihazın uyarı göstermesinin nedeni budur.

Düzen kasıtlı ve yereldir. Özgün sunucunun zincirindeki hiçbir şey yönetilmeyen bir tarayıcıyı yedek kimliği kabul etmeye zorlayamaz ve içindeki hiçbir şey yönetilen bir cihazı bundan alıkoymaz.

VPN sonlandırması HTTPS şifre çözme değildir

Bir VPN katmanı paketleri istemci ile ağ geçidi arasında taşır. Onu kaldırmak veya yapılandırmasını okumak içerideki HTTPS yükünü açığa çıkarmaz.

TLS oturumu hâlâ tarayıcı ile web sunucusu arasında, aynı doğrulama kurallarıyla çalışır; ancak bir şey onu açıkça sonlandırırsa değişir. İki katmanı karıştırmak, VPN yöneticisinden sertifikayı sağlamasını istemeye yol açar; oysa söz konusu sertifika bir denetim proxy'sine veya sitenin kendisine aittir. Herhangi bir güven deposunu değiştirmeden önce hangi bileşenin sertifikayı sunduğunu sorun.

Beklentileri denetlediğiniz bileşende belirleyin

Uygulamayı ve istemcisini işletiyorsanız, beklenen hizmet kimliğini, kabul edilen verenleri ve sabitleme veya istemci kimlik doğrulaması gereksinimlerini birlikte tanımlayın. Meşru bir sertifika değişikliğinin kesintiye dönüşmemesi için yenileme ve kurtarmayı planlayın. Yalnızca genel sunucuyu işletiyorsanız, hangi kimlik doğrulamayı istediğinizi ve hangi istemci ortamlarını desteklediğinizi belgeleyin. Tercih edilen bir zincir göndermek yabancının cihazını sertifikalandırmaz.

Yönetilen donanımda uyumsuzluğu uygulama ve ağ sahipleri aracılığıyla çözün. Doğrulamayı kapatmak, açıklanmamış bir kök eklemek veya denetim ilkesini aşmaya çalışmak amaçlanan eş ilişkisini kurmaz.

Sonucu temiz bir istemci profilinde test edin, istisnanın zaten eklendiği makinede değil. Yeni bir cihazın ne yaşayacağını gösteren tek kontrol budur.