Server sertifikatlari zanjiri mijozning ishonch omborini chetlab o'ta oladimi?

Brauzer zanjiri to‘liq bo‘lgan saytda sertifikat ogohlantirishini ko‘rsatadi va birinchi instinkt serverni tuzatish bo‘ladi. Odatda server aynan kerakli narsani taqdim etadi. Mijoz qaysi langarlarni qabul qilishini o‘zi hal qiladi va oraliq sertifikatlarning hech qanday tartibi bu qarorini ulanishning ikkinchi uchidan o‘zgartira olmaydi. Sertifikat muammosiga o‘xshab ko‘rinadigan narsalarning ko‘p qismini shu chegara izohlaydi.

Tekshirish mijozda, mijozning langarlari bilan amalga oshadi

Yo‘l tekshiruvi taqdim etilgan sertifikatlarni oladi va tekshirish tizimida allaqachon mavjud ishonch langarigacha zanjir quradi. RFC 5280 shu modelni tavsiflaydi va langar tanlovini serverga emas, mahalliy amalga oshirishga qo‘yadi. Dastur o‘z siyosatini ustiga qo‘shishi mumkin: qotirilgan kalit, korxona ishonch ombori, yoki qattiqroq shaxs tekshiruvi. Server yuboradigan sertifikatlar ro‘yxati o‘sha jarayonga taklif qilingan dalil, unga hech qachon ko‘rsatma emas.

Demak, to‘liq zanjir serverda bo‘laklar borligini isbotlaydi. Mijoz ularni qabul qilishini isbotlamaydi.

Server aslida nima yuborishini ko‘rish uchun quyidagini ishga tushiring openssl s_client -connect app.example.net:443 -servername app.example.net -showcerts va chiqishdagi sertifikatlarni sanang. U yerda to‘liq bo‘lmagan zanjir server tomonidagi tuzatishdir. To‘liq zanjir savolni mijoz va uning langarlariga o‘tkazadi, u yerda serverning ovozi yo‘q.

TLS tekshiruvi aslida nimani o‘zgartiradi

Tekshiruv qurilmasi mijoz tomonidagi TLS sessiyasini tugatadi va haqiqiy xizmatga alohida sessiya ochadi. So‘ngra mijoz qurilmaning sertifikatini tekshiradi, u mijoz ishonadigan langargacha zanjirlanishi kerak. Shuning uchun boshqariladigan qurilmalar tekshiruv ildizini qurilma boshqaruvi orqali oladi va shuning uchun usiz shaxsiy qurilma ogohlantirish ko‘rsatadi.

Tartib ataylab va mahalliy. Asl server zanjiridagi hech narsa boshqarilmaydigan brauzerni almashtirilgan shaxsni qabul qilishga majburlay olmaydi va unda hech narsa boshqariladigan qurilmaga buni qilishga to‘sqinlik qilmaydi.

VPNni tugatish HTTPS shifrini ochish emas

VPN qatlami paketlarni mijoz va shlyuz o‘rtasida tashiydi. Uni olib tashlash yoki konfiguratsiyasini o‘qish ichkaridagi HTTPS yukini ochmaydi.

TLS sessiyasi hali ham brauzer va veb-server o‘rtasida, xuddi shu tekshiruv qoidalari bilan davom etadi, agar biror narsa uni aniq tugatmasa. Ikki qatlamni chalkashtirish VPN administratoridan sertifikatni taqdim etishni so‘rashga olib keladi, holbuki gap tegishli sertifikat tekshiruv proksisiga yoki saytning o‘ziga tegishli. Har qanday ishonch omborini o‘zgartirishdan oldin qaysi komponent sertifikatni taqdim etayotganini so‘rang.

Kutilmalarni o‘zingiz boshqaradigan komponentda belgilang

Agar dastur va uning mijozini boshqarsangiz, kutilayotgan xizmat shaxsini, qabul qilinadigan chiqaruvchilarni va har qanday qotirish yoki mijoz autentifikatsiyasi talabini birgalikda belgilang. Yangilash va tiklashni qonuniy sertifikat o‘zgarishi uzilishga aylanmaydigan qilib rejalashtiring. Agar faqat ommaviy serverni boshqarsangiz, qanday autentifikatsiya talab qilishingiz va qaysi mijoz muhitlarini qo‘llab-quvvatlashingizni hujjatlashtiring. Tanlangan zanjirni yuborish begona odamning qurilmasini tasdiqlamaydi.

Boshqariladigan uskunalarda nomuvofiqlikni dastur va tarmoq egalari orqali hal qiling. Tekshiruvni o‘chirish, izohsiz ildiz qo‘shish yoki tekshiruv siyosatidan oshib o‘tishga urinish ko‘zda tutilgan hamkor munosabatni o‘rnatmaydi.

Natijani toza mijoz profilida sinab ko‘ring, istisno allaqachon qo‘shilgan mashinada emas. Yangi qurilma nimani boshdan kechirishini ko‘rsatadigan yagona tekshiruv shu.