Ders 1.29: Tam zinciri sunmak
Bir sunucu kendi sertifikasını ve köke kadar (kök hariç) her ara sertifikayı göndermelidir. Tarayıcılar eksik bir ara sertifikayı çoğu zaman gizler; çünkü onu önbelleğe almışlardır ya da kendileri getirirler. Komut satırı araçları, Java hizmetleri, mobil uygulamalar ve IoT cihazları bunu yapmaz ve 'unable to get local issuer certificate' hatasıyla başarısız olur. Bu, en yaygın TLS kesintilerinden biridir. Laboratuvarda hatayı Northwind'in API'sine karşı yeniden üretiyor, openssl verify ile hangi sertifikanın eksik olduğunu kanıtlıyor, tam zinciri doğru sırayla kuruyor, nginx'i yeniden yüklüyor ve temiz bir el sıkışmayı doğruluyorsun.
15 dk
Bu derste öğreneceklerin
- Sertifika zincirlerini ve güven çapalarını açıklamak
- s_client zincir ve doğrulama çıktısını okumak
- Eksik bir ara sertifikayı teşhis etmek
- Doğru sırayla bir tam zincir dosyası oluşturmak
- Düzeltmeyi uygulamak ve doğrulamak
Temel terimler
- Sertifika zinciri
- Yaprak, ara sertifikalar ve kök; her biri bir sonrakince imzalanmış.
- Güven çapası / güven deposu
- Bir istemcinin önceden güvendiği kök sertifikalar / onları tuttuğu yer.
- Ara sertifika
- Kök ile yaprak arasındaki CA sertifikası; sunucular onu göndermelidir.
- Tam zincir (fullchain.pem)
- Yaprak ve ardından ara sertifikaları tek bir dosyada.
- AIA ile getirme
- Bazı tarayıcılar eksik ara sertifikayı sertifikadaki URL'den indirir ve hatayı gizler.
← Klasik şifreler ve Kerckhoffs ilkesi · Tüm dersler · Bizi etkiliyor mu? Envanter, sürümler ve geri taşımalar →