Τι είναι μια αλυσίδα πιστοποιητικών SSL; Πώς λειτουργεί

Μια αλυσίδα πιστοποιητικών SSL βοηθά τα προγράμματα περιήγησης και άλλους πελάτες να επαληθεύουν ότι το ψηφιακό πιστοποιητικό ενός ιστότοπου μπορεί να είναι αξιόπιστο. Όταν επισκέπτεστε έναν ιστότοπο μέσω HTTPS, το πρόγραμμα περιήγησής σας ελέγχει το πιστοποιητικό TLS για να επιβεβαιώσει ότι προσδιορίζει τον ζητούμενο τομέα και ότι μπορεί να επικυρωθεί μέσω μιας αξιόπιστης Αρχής έκδοσης πιστοποιητικών (CA). Αυτή η επαλήθευση εξαρτάται συχνά από μια αλυσίδα πιστοποιητικών που συνδέει το πιστοποιητικό του ιστότοπου με ένα αξιόπιστο πιστοποιητικό ρίζας. Εάν λείπει ένα ενδιάμεσο πιστοποιητικό ή δεν είναι δυνατή η επικύρωση της αλυσίδας, οι χρήστες ενδέχεται να αντιμετωπίσουν προειδοποιήσεις ασφαλείας ή σφάλματα σύνδεσης. Η κατανόηση του τρόπου λειτουργίας μιας αλυσίδας πιστοποιητικών SSL βοηθά τους κατόχους ιστ��τοπων, τους διαχειριστές συστήματος και τους επαγγελματίες ασφαλείας να αντιμετωπίζουν προβλήματα πιστοποιητικών και να διατηρούν αξιόπιστες συνδέσεις HTTPS.

Τι είναι μια αλυσίδα πιστοποιητικών SSL;

Μια αλυσίδα πιστοποιητικών SSL, που ονομάζεται επίσης αλυσίδα πιστοποιητικών εμπιστοσύνης, είναι μια ακολουθία ψηφιακών πιστοποιητικών που καθορίζει μια διαδρομή από το πιστοποιητικό ενός ιστότοπου σε μια αξιόπιστη αρχή έκδοσης πιστοποιητικών. Αν και το SSL παραμένει ένας κοινός όρος, οι σύγχρονες συνδέσεις HTTPS χρησιμοποιούν ασφάλεια επιπέδου μεταφοράς (TLS).

Μια τυπική αλυσίδα περιέχει τρεις τύπους πιστοποιητικών: το φύλλο πιστοποιητικού του ιστότοπου, ένα ή περισσότερα ενδιάμεσα πιστοποιητικά και ένα πιστοποιητικό ρίζας. Το πιστοποιητικό φύλλου προσδιορίζει τον ιστότοπο ή τον διακομιστή. Τα ενδιάμεσα πιστοποιητικά επιτρέπουν την ανάθεση της έκδοσης πιστοποιητικού, ενώ το ριζικό πιστοποιητικό χρησιμεύει ως άγκυρα εμπιστοσύνης όταν είναι αξιόπιστο από τον πελάτη.

Για παράδειγμα, όταν ένα πρόγραμμα περιήγησης συνδέεται σε έναν ιστότοπο HTTPS, επικυρώνει το πιστοποιητικό του ιστότοπου και επιχειρεί να δημιουργήσει μια αξιόπιστη διαδρομή μέσω των διαθέσιμων ενδιάμεσων πιστοποιητικών σε ένα πιστοποιητικό ρίζας στον χώρο αποθήκευσης αξιοπιστίας του. Ελέγχει επίσης το όνομα κεντρικού υπολογιστή, τις ημερομηνίες εγκυρότητας, τις ψηφιακές υπογραφές και άλλες ισχύουσες απαιτήσεις πιστοποιητικού.

Μια έγκυρη αλυσίδα πιστοποιητικών βοηθά στον προσδιορισμό της ταυτότητας του διακομιστή κατά τη διάρκεια της χειραψίας TLS. Ωστόσο, δεν αποδεικνύει ότι ένας ιστότοπος είναι νόμιμος, απαλλαγμένος από κακόβουλο λογισμικό ή ότι λειτουργεί από αξιόπιστο οργανισμό.

Πώς λειτουργεί η αλυσίδα πιστοποίησης SSL;

Η αλυσίδα αξιοπιστίας πιστοποιητικών επιτρέπει στα προγράμματα περιήγησης και σε άλλους πελάτες να επικυρώνουν το πιστοποιητικό ενός ιστότοπου χρησιμοποιώντας πιστοποιητικά που εκδίδονται από αξιόπιστες αρχές. Κάθε πιστοποιητικό συνδέεται με μια αρχή έκδοσης, δημιουργώντας μια διαδρομή από το πιστοποιητικό του ιστότοπου σε μια αποδεκτή άγκυρα εμπιστοσύνης.

Βήμα 1: Ο ιστότοπος παρουσιάζει το πιστοποιητικό του

Όταν ένα πρόγραμμα περιήγησης συνδέεται σε έναν ιστότοπο μέσω HTTPS, ο διακομιστής παρουσιάζει το φύλλο πιστοποιητικού του κατά τη χειραψία TLS. Αυτό το πιστοποιητικό περιέχει το δημόσιο κλειδί του ιστότοπου, πληροφορίες τομέα, στοιχεία εκδότη, περίοδο ισχύος και ψηφιακή υπογραφή.

Το πρόγραμμα περιήγησης ελέγχει εάν το όνομα κεντρικού υπολογιστή που ζητήθηκε ταιριάζει με τις καταχωρήσεις Εναλλακτικού ονόματος θέματος (SAN) του πιστοποιητικού και εάν το πιστοποιητικό πληροί τις ισχύουσες απαιτήσεις επικύρωσης.

Βήμα 2: Το ενδιάμεσο πιστοποιητικό δημιουργεί τον επόμενο σύνδεσμο

Το πιστοποιητικό του ιστότοπου εκδίδεται συνήθως από μια ενδιάμεση ΑΠ και όχι απευθείας από μια ΑΠ ρίζας. Ο πελάτης χρησιμοποιεί το δημόσιο κλειδί του ενδιάμεσου πιστοποιητικού για να επαληθεύσει την υπογραφή στο φύλλο πιστοποιητικού.

Ορισμένες αλυσίδες περιέχουν πολλαπλά ενδιάμεσα πιστοποιητικά. Κάθε σύνδεσμος πρέπει να πληροί τους σχετικούς κανόνες επικύρωσης πιστοποιητικού, ώστε ο πελάτης να δημιουργήσει μια αξιόπιστη διαδρομή.

Βήμα 3: Η αλυσίδα φτάνει σε μια αξιόπιστη ρίζα

Ένα πιστοποιητικό ρίζας ανήκει σε μια αρχή έκδοσης πιστοποιητικών ρίζας και είναι συνήθως αυτο-υπογεγραμμένο. Τα προγράμματα περιήγησης και τα λειτουργικά συστήματα διατηρούν αξιόπιστα πιστοποιητικά ρίζας σύμφωνα με τις δικές τους πολιτικές εμπιστοσύνης.

Ο πελάτης επιχειρεί να συνδέσει το φύλλο πιστοποιητικού μέσω των απαιτούμενων ενδιάμεσων πιστοποιητικών σε μια αξιόπιστη ρίζα. Ο διακομιστής κανονικά δεν χρειάζεται να στείλει το πιστοποιητικό ρίζας επειδή ο πελάτης έχει ήδη τις πληροφορίες εμπιστοσύνης του.

Βήμα 4: Ο πελάτης επικυρώνει την αλυσίδα

Ο πελάτης ελέγχει τις υπογραφές πιστοποιητικού, τις περιόδους εγκυρότητας, το όνομα κεντρικού υπολογιστή, τους περιορισμούς πιστοποιητικού και άλλες ισχύουσες απαιτήσεις. Ανάλογα με τη διαμόρφωσή του, μπορεί επίσης να ελέγξει τις πληροφορίες ανάκλησης πιστοποιητικού.

Εάν ο πελάτης δημιουργήσει μια έγκυρη διαδρομή και περάσουν οι απαιτούμενοι έλεγχοι, μπορεί να αποδεχτεί το πιστοποιητικό του διακομιστή. Διαφορετικά, η σύνδεση μπορεί να παράγει μια προειδοποίηση πιστοποιητικού ή να αποτύχει.

Πιστοποιητικό ρίζας έναντι ενδιάμεσου πιστοποιητικού έναντι πιστοποιητικού φύλλου

Κάθε πιστοποιητικό στην αλυσίδα έχει έναν συγκεκριμένο σκοπό. Η κατανόηση αυτών των διαφορών βοηθά τους διαχειριστές να διαμορφώσουν σωστά το HTTPS και να αντιμετωπίσουν σφάλματα πιστοποιητικών.

1. Φύλλο Πιστοποιητικό

Ένα πιστοποιητικό φύλλου, που ονομάζεται επίσης πιστοποιητικό τελικής οντότητας, προσδιορίζει έναν ιστότοπο ή έναν διακομιστή. Περιέχει το δημόσιο κλειδί, πληροφορίες τομέα, εκδότη, ημερομηνίες εγκυρότητας και ψηφιακή υπογραφή.

Ο διακομιστής παρουσιάζει αυτό το πιστοποιητικό στον πελάτη κατά τη διάρκεια της χειραψίας TLS. Ο πελάτης ελέγχει την ταυτότητα και την εγκυρότητά του πριν τον αποδεχτεί για τη σύνδεση.

2. Ενδιάμεσο Πιστοποιητικό

Ένα ενδιάμεσο πιστοποιητικό ανήκει σε μια υφιστάμενη Αρχή Πιστοποιητικών που εκδίδει πιστοποιητικά ή αναθέτει την έκδοση σε άλλη αρχή. Συνδέει το πιστοποιητικό του ιστότοπου με ένα αξιόπιστο πιστοποιητικό ρίζας.

Οι ενδιάμεσες ΑΠ επιτρέπουν στις ΑΠ ρίζας να διατηρούν τα ιδιωτικά τους κλειδιά πιο απομονωμένα κατά την ανάθεση της έκδοσης πιστοποιητικών. Εάν λείπει ένα απαιτούμενο ενδιάμεσο πιστοποιητικό και δεν μπορεί να ληφθεί μέσω άλλου διαθέσιμου μηχανισμού, ο πελάτης ενδέχεται να μην είναι σε θέση να επικυρώσει την αλυσίδα.

3. Πιστοποιητικό ρίζας

Ένα πιστοποιητικό ρίζας ανήκει σε μια αρχή έκδοσης πιστοποιητικών ρίζας και λειτουργεί ως άγκυρα εμπιστοσύνης όταν γίνεται αποδεκτό από το κατάστημα εμπιστοσύνης ενός πελάτη. Είναι συνήθως αυτο-υπογεγραμμένο, αλλά η αυτο-υπογραφή δεν καθιστά αυτόματα ένα πιστοποιητικό αξιόπιστο.

Ο πελάτης πρέπει να αναγνωρίσει τη ρίζα ως αξιόπιστη σύμφωνα με τη διαμορφωμένη πολιτική αξιοπιστίας του.

Μια τυπική αλυσίδα ακολουθεί λοιπόν αυτό το μονοπάτι:

Πιστοποιητικό ιστότοπου → Ενδιάμεσο πιστοποιητικό ΑΠ → Αξιόπιστο πιστοποιητικό ρίζας

Η ακριβής αλυσίδα εξαρτάται από την Αρχή έκδοσης πιστοποιητικών, τη διαμόρφωση του διακομιστή και τα πιστοποιητικά που είναι διαθέσιμα στον πελάτη.

Πώς τα προγράμματα περιήγησης επικυρώνουν μια αλυσίδα πιστοποιητικών SSL

Τα προγράμματα περιήγησης επικυρώνουν αλυσίδες πιστοποιητικών κατά τη χειραψία TLS για να προσδιορίσουν εάν η ταυτότητα του διακομιστή μπορεί να είναι αξιόπιστη.

Επαλήθευση ονόματος κεντρικού υπολογιστή

Το πρόγραμμα περιήγησης ελέγχει εάν ο ζητούμενος τομέας ταιριάζει με τις καταχωρήσεις SAN του πιστοποιητικού. Πιστοποιητικό που εκδόθηκε γιαexample.comμπορεί να μην καλύπτειshop.example.comεκτός εάν περιλαμβάνεται το πρόσθετο όνομα κεντρικού υπολογιστή ή ένας κατάλληλος χαρακτήρας μπαλαντέρ.

Μια αναντιστοιχία ονόματος κεντρικού υπολογιστή μπορεί να προκαλέσει μια προειδοποίηση προγράμματος περιήγησης ή να προκαλέσει την απόρριψη της σύνδεσης.

Επαλήθευση ψηφιακής υπογραφής

Οι ψηφιακές υπογραφές βοηθούν τους πελάτες να επαληθεύουν την ακεραιότητα και τη γνησιότητα του πιστοποιητικού εντός της διαδρομής πιστοποίησης. Ο πελάτης χρησιμοποιεί το δημόσιο κλειδί του πιστοποιητικού έκδοσης για να επαληθεύσει την υπογραφή στο πιστοποιητικό που εξετάζεται.

Οι κρυπτογραφικές λειτουργίες είναι κεντρικές σε αυτή τη διαδικασία. Για μια σχετική εξήγηση, διαβάστε τον οδηγό του CyberLad για τοκατακερματισμός στην ασφάλεια στον κυβερνοχώρο.

Λήξη Πιστοποιητικού

Τα πιστοποιητικά έχουν περιόδους ισχύος που ορίζονται από τοτους Όχι πρινκαιΌχι Μετάχωράφια. Ο πελάτης ελέγχει εάν τα σχετικά πιστοποιητικά είναι έγκυρα κατά τη στιγμή της επαλήθευσης.

Ένα ληγμένο φύλλο ή ενδιάμεσο πιστοποιητικό μπορεί να αποτρέψει την επιτυχή επικύρωση. Οι διαχειριστές θα πρέπει να παρακολουθούν τις ημερομηνίες λήξης και να επιβεβαιώνουν ότι τα ανανεωμένα πιστοποιητικά έχουν εγκατασταθεί σωστά.

Trust Store και διαδρομή πιστοποιητικού

Ο πελάτης επιχειρεί να δημιουργήσει μια έγκυρη διαδρομή από το πιστοποιητικό φύλλου μέσω των ενδιάμεσων πιστοποιητικών σε μια αποδεκτή άγκυρα εμπιστοσύνης. Ελέγχει επίσης τους ισχύοντες περιορισμούς πιστοποιητικών και τις απαιτήσεις χρήσης κλειδιών.

Τα καταστήματα αξιοπιστίας διαφέρουν ανάλογα με το λειτουργικό σύστημα, το πρόγραμμα περιήγησης και την εφαρμογή. Ένα πιστοποιητικό αξιόπιστο σε ένα περιβάλλον ενδέχεται να μην είναι αξιόπιστο σε άλλο.

Ανάκληση Πιστοποιητικού

Τα πιστοποιητικά μπορούν να ανακληθούν πριν από την ημερομηνία λήξης τους, εάν τα ιδιωτικά κλειδιά τους παραβιάζονται ή άλλες συνθήκες απαιτούν ανάκληση. Οι Αρχές έκδοσης πιστοποιητικών μπορούν να δημοσιεύουν πληροφορίες ανάκλησης μέσω των λιστών ανάκλησης πιστοποιητικών (CRL) ή του Πρωτοκόλλου Κατάστασης Πιστοποιητικού στο Διαδίκτυο (OCSP).

Η συμπεριφορά ελέγχου ανάκλησης διαφέρει μεταξύ των πελατών. Ορισμένοι χρησιμοποιούν προσωρινά αποθηκευμένες πληροφορίες ή εναλλακτικούς μηχανισμούς, επομένως η επιτυχής επικύρωση αλυσίδας δεν σημαίνει πάντα ότι κάθε πελάτης εκτελούσε πανομοιότυπους ελέγχους ανάκλησης.

Συνήθη σφάλματα αλυσίδας πιστοποιητικών SSL και οι αιτίες τους

Τα σφάλματα αλυσίδας πιστοποιητικών παρουσιάζονται όταν ένας πελάτης δεν μπορεί να επικυρώσει το πιστοποιητικό που παρουσιάζεται από έναν διακομιστή. Ο εντοπισμός του συγκεκριμένου σφάλματος είναι απαραίτητος επειδή κάθε πρόβλημα απαιτεί διαφορετική επιδιόρθωση.

1. Ελλιπής αλυσίδα πιστοποιητικών

Μια ατελής αλυσίδα προκύπτει όταν ο διακομιστής δεν παρέχει ένα απαιτούμενο ενδιάμεσο πιστοποιητικό και ο πελάτης δεν μπορεί να δημιουργήσει μια αξιόπιστη διαδρομή χρησιμοποιώντας άλλα διαθέσιμα πιστοποιητικά.

Οι συνήθεις αιτίες περιλαμβάνουν την έλλειψη ενδιάμεσων πιστοποιητικών, τις εσφαλμένες δέσμες πιστοποιητικών και τις αλλαγές διαμόρφωσης μετά από μετεγκατάσταση διακομιστή.

Πώς να το διορθώσετε:Λάβετε τα σωστά ενδιάμεσα πιστοποιητικά από την Αρχή έκδοσης πιστοποιητικών και διαμορφώστε τον διακομιστή ώστε να παρουσιάζει το φύλλο πιστοποιητικού ακολουθούμενο από τα απαιτούμενα ενδιάμεσα.

2. Μη αξιόπιστη αρχή έκδοσης πιστοποιητικών

Ένας πελάτης μπορεί να απορρίψει μια αλυσίδα όταν δεν μπορεί να συνδέσει το πιστοποιητικό με μια αποδεκτή άγκυρα εμπιστοσύνης. Αυτό μπορεί να συμβεί με αυτουπογεγραμμένα πιστοποιητικά ή ιδιωτικά πιστοποιητικά CA που δεν έχουν εγκατασταθεί στο κατάστημα αξιοπιστίας του πελάτη.

Πώς να το διορθώσετε:Χρησιμοποιήστε μια δημόσια αξιόπιστη ΑΠ για δημόσιους ιστότοπους. Για εσωτερικές εφαρμογές, διανείμετε το πιστοποιητικό ρίζας του οργανισμού μέσω μιας εγκεκριμένης διαδικασίας διαχείρισης εμπιστοσύνης. Μην εγκαθιστάτε ποτέ ένα άγνωστο πιστοποιητικό ρίζας απλώς και μόνο για να παρακάμψετε μια προειδοποίηση.

3. Ληγμένο Πιστοποιητικό

Ένα ληγμένο φύλλο ή ενδιάμεσο πιστοποιητικό μπορεί να αποτρέψει την επιτυχή επικύρωση.

Πώς να το διορθώσετε:Ελέγξτε τις ημερομηνίες εγκυρότητας, ανανεώστε ή αντικαταστήστε το πιστοποιητικό που επηρεάζεται και βεβαιωθείτε ότι η ενημερωμένη αλυσίδα πιστοποιητικών είναι εγκατεστημένη σε κάθε σχετικό σημείο τερματισμού TLS.

4. Αναντιστοιχία ονόματος κεντρικού υπολογιστή

Παρουσιάζεται αναντιστοιχία ονόματος κεντρικού υπολογιστή όταν ο ζητούμενος τομέας δεν καλύπτεται από τις καταχωρήσεις SAN του πιστοποιητικού.

Πώς να το διορθώσετε:Εγκαταστήστε ένα πιστοποιητικό που καλύπτει το ζητούμενο όνομα κεντρικού υπολογιστή. Ελέγξτε τις ρυθμίσεις εικονικού κεντρικού υπολογιστή, την ένδειξη ονόματος διακομιστή (SNI) και τις συνδέσεις πιστοποιητικού εξισορρόπησης φορτίου.

5. Λανθασμένη δέσμη πιστοποιητικών

Ένας διακομιστής μπορεί να παρουσιάσει λάθος ενδιάμεσο πιστοποιητικό ή εσφαλμένη παραγγελία πακέτο πιστοποιητικών.

Πώς να το διορθώσετε:Συγκρίνετε τον εκδότη του φύλλου πιστοποιητικού με τα διαμορφωμένα ενδιάμεσα πιστοποιητικά. Διορθώστε το πακέτο και δοκιμάστε τη διαμόρφωση του διακομιστή πριν φορτώσετε ξανά την υπηρεσία.

6. Ανάκληση ή άλλη αποτυχία επικύρωσης

Ένα πιστοποιητικό μπορεί να αποτύχει στην επικύρωση επειδή έχει ανακληθεί ή δεν ικανοποιεί άλλη ισχύουσα απαίτηση πιστοποιητικού.

Πώς να το διορθώσετε:Ελέγξτε την κατάσταση του πιστοποιητικού και συμβουλευτείτε τις οδηγίες της ΑΠ έκδοσης. Αντικαταστήστε ένα ανακληθέν πιστοποιητικό και διερευνήστε την αιτία. Η απενεργοποίηση της επαλήθευσης πιστοποιητικού δεν είναι ασφαλής λύση.

Πώς να ελέγξετε μια αλυσίδα πιστοποιητικών SSL

Μπορείτε να επιθεωρήσετε την αλυσίδα πιστοποιητικών ενός δημόσιου ιστότοπου χρησιμοποιώντας μια ηλεκτρονική υπηρεσία δοκιμών ή εργαλεία γραμμής εντολών.

Μέθοδος 1: Χρήση SSL Labs

Το Qualys SSL Labs SSL Server Test αναλύει διακομιστές TLS προσβάσιμους στο κοινό και αναφέρει ζητήματα πιστοποιητικών και διαμόρφωσης.

1. Ανοίξτε τη σελίδα δοκιμής SSL Labs.

2. Εισαγάγετε τον τομέα που θέλετε να ελέγξετε.

3. Εκτελέστε το τεστ και περιμένετε την ανάλυση.

4. Ελέγξτε τις λεπτομέρειες του πιστοποιητικού και τις πληροφορίες της αλυσίδας.

5. Διερευνήστε τις προειδοποιήσεις σχετικά με την αξιοπιστία, τη λήξη, τα ενδιάμεσα που λείπουν ή την επικύρωση ονόματος κεντρικού υπολογιστή.

Το SSL Labs είναι χρήσιμο για εξωτερικές δοκιμές χωρίς εγκατάσταση πρόσθετου λογισμικού. Αποφύγετε την υποβολή ευαίσθητων εσωτερικών ονομάτων κεντρικού υπολογιστή ή συστημάτων, εκτός εάν οι πολιτικές του οργανισμού σας επιτρέπουν τη χρήση εξωτερικής υπηρεσίας.

Μέθοδος 2: Επιθεώρηση πιστοποιητικών με OpenSSL

Το OpenSSL μπορεί να εμφανίζει πιστοποιητικά που παρουσιάζονται από έναν διακομιστή κατά τη διάρκεια μιας σύνδεσης TLS. Τρέξιμο:

openssl s_client -connect example.com:443 \
  -όνομα διακομιστή example.com \
  -εκδηλώσεις

Αντικατάστασηexample.comμε τον τομέα προορισμού.

Το-σύνδεσηΗ επιλογή καθορίζει τον προορισμό και τη θύρα. Το-όνομα διακομιστήΗ επιλογή στέλνει το όνομα κεντρικού υπολογιστή μέσω SNI, ενώ- επιδείξειςεμφανίζει τα πιστοποιητικά που αποστέλλονται από τον διακομιστή.

Σημαντικό:Η εμφάνιση πιστοποιητικών δεν αποδεικνύει ότι η αλυσίδα είναι αξιόπιστη. Χρησιμοποιήστε τις επιλογές επαλήθευσης για να ελέγξετε τη διαδρομή πιστοποιητικού και το όνομα κεντρικού υπολογιστή.

Μέθοδος 3: Επαληθεύστε την αλυσίδα και το όνομα κεντρικού υπολογιστή

Εκτελέστε την ακόλουθη εντολή για να ζητήσετε επαλήθευση πιστοποιητικού και έλεγχο ονόματος κεντρικού υπολογιστή:

openssl s_client \
  -connect example.com:443 \
  -όνομα διακομιστή example.com \
  -verify_return_error \
  -verify_hostname example.com

Αναζητήστε ένα επιτυχημένο αποτέλεσμα επαλήθευσης, όπωςΕπαληθεύστε τον κωδικό επιστροφής: 0 (ok). Η ακριβής έξοδος εξαρτάται από την έκδοση OpenSSL, τον χώρο αποθήκευσης αξιοπιστίας και τις ρυθμίσεις επαλήθευσης.

Το-verify_return_errorΗ επιλογή προκαλεί την επιστροφή σφαλμάτων επαλήθευσης αντί να επιτρέπει στην εντολή να συνεχίσει μετά από αυτά. Δείτε τοεπίσημη τεκμηρίωση OpenSSL s_client.

Μέθοδος 4: Επιθεώρηση στοιχείων εκδότη και λήξης

Εάν έχετε αποθηκεύσει το πιστοποιητικό φύλλου ως αρχείο PEM, εκτελέστε:

openssl x509 -in certificate.pem -noout \
  -θέμα -εκδότης -ημερομηνίες

Εμφανίζει το θέμα, τον εκδότη και τις ημερομηνίες ισχύος του πιστοποιητικού. Χρησιμοποιήστε την έξοδο για να ελέγξετε εάν ο εκδότης ταιριάζει με την αναμενόμενη ΑΠ και εάν το πιστοποιητικό βρίσκεται εντός της περιόδου ισχύος του.

Πώς να διορθώσετε μια μη ολοκληρωμένη αλυσίδα πιστοποιητικών SSL

Η διόρθωση μιας ημιτελούς αλυσίδας περιλαμβάνει γενικά τον εντοπισμό του ενδιάμεσου που λείπει, τη λήψη της σωστής δέσμης πιστοποιητικών, τη διαμόρφωση του τελικού σημείου TLS και τη δοκιμή του αποτελέσματος.

Βήμα 1: Προσδιορίστε το ενδιάμεσο που λείπει

Εκτελέστε την παραπάνω εντολή OpenSSL ή χρησιμοποιήστε τα εργαστήρια SSL για να εξετάσετε την αλυσίδα. Ελέγξτε ποια πιστοποιητικά στέλνει ο διακομιστής και εάν ο πελάτης μπορεί να δημιουργήσει μια αξιόπιστη διαδρομή.

Μια αποτυχία επαλήθευσης δεν σημαίνει πάντα ότι λείπει ένα ενδιάμεσο. Διερευνήστε επίσης τη λήξη, τις αναντιστοιχίες ονομάτων κεντρικού υπολογιστή και ζητήματα καταστήματος αξιοπιστίας.

Βήμα 2: Αποκτήστε τη σωστή δέσμη πιστοποιητικών

Κατεβάστε τα απαιτούμενα ενδιάμεσα πιστοποιητικά από τον επίσημο ιστότοπο της Αρχής έκδοσης πιστοποιητικών ή την πύλη διαχείρισης πιστοποιητικών. Επιβεβαιώστε ότι τα πιστοποιητικά αντιστοιχούν στον εκδότη του φύλλου πιστοποιητικού σας.

Το πιστοποιητικό ρίζας είναι συνήθως ήδη διαθέσιμο στο χώρο αποθήκευσης αξιοπιστίας του πελάτη και γενικά δεν χρειάζεται να συμπεριληφθεί στη δέσμη πιστοποιητικών του διακομιστή.

Βήμα 3: Διαμόρφωση Nginx

Για το Nginx, το αρχείο πιστοποιητικού πρέπει να περιέχει πρώτα το φύλλο πιστοποιητικού, ακολουθούμενο από τα απαιτούμενα ενδιάμεσα πιστοποιητικά.

διακομιστής {
    ακούστε 443 ssl;
    server_name example.com;

    ssl_certificate /etc/ssl/certs/fullchain.pem;
    ssl_certificate_key /etc/ssl/private/example.com.key;
}

Τα μονοπάτια είναι παραδείγματα. Χρησιμοποιήστε τις σωστές θέσεις για το περιβάλλον σας και βεβαιωθείτε ότι το ιδιωτικό κλειδί προστατεύεται από τα κατάλληλα δικαιώματα.

Δοκιμάστε τη διαμόρφωση πριν φορτώσετε ξανά το Nginx:

sudo nginx -t

Βήμα 4: Ελέγξτε τον Apache και άλλα τελικά σημεία TLS

Οι διαμορφώσεις Apache μπορούν να χρησιμοποιούνSSLCertificateFileνα προσκομίσει το φυλλάδιο και τα απαραίτητα ενδιάμεσα πιστοποιητικά. Ακολουθήστε την τεκμηρίωση για την έκδοση και την ανάπτυξη του Apache.

Εάν το HTTPS τερματίζεται σε αντίστροφο διακομιστή μεσολάβησης, δίκτυο παράδοσης περιεχομένου, τείχος προστασίας εφαρμογών ιστού ή εξισορρόπηση φορτίου, ελέγξτε το πιστοποιητικό που είναι εγκατεστημένο σε αυτό το επίπεδο. Η ενημέρωση μόνο του διακομιστή προέλευσης δεν θα διορθώσει ένα εσφαλμένο πιστοποιητικό που εξυπηρετείται από ξεχωριστό διακομιστή μεσολάβησης.

Βήμα 5: Επαληθεύστε τη διόρθωση

Αφού κάνετε τις αλλαγές, εκτελέστε ξανά το OpenSSL και το SSL Labs. Επιβεβαιώστε ότι ο διακομιστής παρουσιάζει τα αναμενόμενα πιστοποιητικά και ότι ο πελάτης μπορεί να επικυρώσει την αλυσίδα και το όνομα κεντρικού υπολογιστή.

Για περιβάλλοντα με πολλούς διακομιστές ή σημεία τερματισμού TLS, δοκιμάστε κάθε σχετικό τελικό σημείο. Ένα επιτυχημένο αποτέλεσμα σε έναν διακομιστή δεν εγγυάται ότι όλα τα τελικά σημεία έχουν την ίδια διαμόρφωση.

Βέλτιστες πρακτικές αλυσίδας πιστοποιητικών SSL

Χρήση αξιόπιστων αρχών έκδοσης πιστοποιητικών

Χρησιμοποιήστε δημόσια αξιόπιστες ΑΠ για δημόσιους ιστότοπους. Για εσωτερικές εφαρμογές, διανέμετε με ασφάλεια την ιδιωτική εμπιστοσύνη CA σε εξουσιοδοτημένους πελάτες.

Αυτοματοποίηση ανανέωσης και παρακολούθησης

Χρησιμοποιήστε εργαλεία διαχείρισης πιστοποιητικών όπου υποστηρίζονται και ειδοποιήστε τους διαχειριστές πριν λήξουν τα πιστοποιητικά. Βεβαιωθείτε ότι τα ανανεωμένα πιστοποιητικά αναπτύσσονται και εξυπηρετούνται πραγματικά από τα σχετικά τελικά σημεία.

Προστασία ιδιωτικών κλειδιών

Περιορίστε την πρόσβαση στα ιδιωτικά κλειδιά πιστοποιητικών, αποθηκεύστε τα με ασφάλεια και αποφύγετε την έκθεσή τους σε αρχεία καταγραφής ή δημόσια αποθετήρια. Εάν ένα κλειδί έχει παραβιαστεί, αντικαταστήστε το επηρεαζόμενο πιστοποιητικό και ακολουθήστε τις κατάλληλες διαδικασίες αντιμετώπισης περιστατικών και ανάκλησης.

Επικύρωση μετά τις αλλαγές διαμόρφωσης

Δοκιμάστε την αλυσίδα πιστοποιητικών μετά από ανανεώσεις, μετεγκαταστάσεις διακομιστή, αλλαγές στο load-balancer ή ενημερώσεις αντίστροφου διακομιστή μεσολάβησης. Ελέγξτε τα σφάλματα αντιστοίχισης ονόματος κεντρικού υπολογιστή, λήξης, κατασκευής αλυσίδας και επαλήθευσης.

Διατηρήστε ένα απόθεμα πιστοποιητικών

Καταγράψτε κατόχους πιστοποιητικών, τομείς, ΑΠ έκδοσης, ημερομηνίες λήξης, τοποθεσίες ανάπτυξης και μεθόδους ανανέωσης. Ένα κεντρικό απόθεμα βοηθά τις ομάδες να βρίσκουν τις επηρεαζόμενες υπηρεσίες γρήγορα κατά τη διάρκεια διακοπών.

Παρακολούθηση πιστοποιητικών τρίτων

Τα προβλήματα με τα πιστοποιητικά μπορεί να επηρεάσουν τις υπηρεσίες από τις οποίες εξαρτάται ο οργανισμός σας, όχι μόνο τον δικό σας ιστότοπο. Παρακολουθήστε σημαντικά εξωτερικά τελικά σημεία TLS, συμπεριλαμβανομένων των παρόχων ταυτότητας, των πυλών πληρωμής και των API. Το CyberLad εξηγεί αυτόν τον ευρύτερο κίνδυνο στοΠέντε κίνδυνοι τρίτων που δεν μπορεί να δει ο σαρωτής ευπάθειας σας.

Χρησιμοποιήστε ασφαλείς διαμορφώσεις TLS

Μια έγκυρη αλυσίδα πιστοποιητικών είναι μόνο ένα μέρος της ασφάλειας HTTPS. Χρησιμοποιήστε υποστηριζόμενες εκδόσεις TLS, κατάλληλες ρυθμίσεις κρυπτογράφησης και ασφαλείς πρακτικές διαχείρισης κλειδιών. Ένα αξιόπιστο πιστοποιητικό δεν εγγυάται ότι μια εφαρμογή είναι απαλλαγμένη από τρωτά σημεία.

Σύναψη

Μια αλυσίδα πιστοποιητικών SSL αποτελεί ουσιαστικό μέρος της ασφάλειας HTTPS, επειδή επιτρέπει στα προγράμματα περιήγησης και σε άλλους πελάτες να επικυρώσουν το πιστοποιητικό ενός ιστότοπου μέσω μιας διαδρομής προς μια αξιόπιστη Αρχή έκδοσης πιστοποιητικών. Η κατανόηση των πιστοποιητικών φύλλων, ενδιάμεσων και ριζικών πιστοποιητικών βοηθά τους διαχειριστές να αντιμετωπίζουν ελλιπείς αλυσίδες, ληγμένα πιστοποιητικά και σφάλματα εμπιστοσύνης. Η τακτική παρακολούθηση, η σωστή διαμόρφωση διακομιστή, η ασφαλής διαχείριση ιδιωτικού κλειδιού και η επαλήθευση μετά την ανάπτυξη συμβάλλουν στη διατήρηση αξιόπιστων συνδέσεων TLS. Ακολουθώντας αυτές τις πρακτικές, οι ιδιοκτήτες ιστοτόπων και οι επαγγελματίες ασφάλειας μπορούν να μειώσουν τις διακοπές που σχετίζονται με πιστοποιητικά και να βελτιώσουν την αξιοπιστία της υποδομής HTTPS τους.

Συχνές Ερωτήσεις

Τι είναι μια αλυσίδα πιστοποιητικών SSL;

Μια αλυσίδα πιστοποιητικών SSL είναι μια ακολουθία ψηφιακών πιστοποιητικών που καθορίζει μια διαδρομή από το πιστοποιητικό ενός ιστότοπου σε μια αξιόπιστη αρχή έκδοσης πιστοποιητικών. Συνήθως περιλαμβάνει το φύλλο πιστοποιητικού και ένα ή περισσότερα ενδιάμεσα πιστοποιητικά.

Ποια είναι η διαφορά μεταξύ ενός πιστοποιητικού ρίζας και ενός ενδιάμεσου πιστοποιητικού;

Ένα πιστοποιητικό ρίζας λειτουργεί ως άγκυρα εμπιστοσύνης όταν γίνεται αποδεκτό από τον πελάτη. Ένα ενδιάμεσο πιστοποιητικό αναθέτει την έκδοση πιστοποιητικού και συνδέει το πιστοποιητικό φύλλου με την αξιόπιστη ρίζα.

Χρειάζεται ένας διακομιστής Web να στείλει το πιστοποιητικό ρίζας;

Συνήθως, όχι. Ο διακομιστής συνήθως στέλνει το φύλλο πιστοποιητικού και τα απαιτούμενα ενδιάμεσα πιστοποιητικά. Ο πελάτης γενικά έχει ήδη το αξιόπιστο πιστοποιητικό ρίζας του στο κατάστημα αξιοπιστίας του.

Πώς μπορώ να ελέγξω μια αλυσίδα πιστοποιητικών SSL;

ΧρήσηSSL Labsγια να επιθεωρήσετε έναν δημόσιο ιστότοπο ή να εκτελέσετεopenssl s_clientνα εξετάσει τα πιστοποιητικά που παρουσιάζονται από έναν διακομιστή. Συμπεριλάβετε επιλογές επαλήθευσης ονόματος κεντρικού υπολογιστή και πιστοποιητικού όταν ελέγχετε εάν η αλυσίδα μπορεί να είναι αξιόπιστη.

Τι προκαλεί μια ελλιπή αλυσίδα πιστοποιητικών SSL;

Η πιο κοινή αιτία είναι η έλλειψη ενός ενδιάμεσου πιστοποιητικού. Τα εσφαλμένα πακέτα πιστοποιητικών, οι ξεπερασμένες διαμορφώσεις και οι ασυνεπείς ρυθμίσεις TLS στους διακομιστές μπορούν επίσης να εμποδίσουν τους πελάτες να δημιουργήσουν μια έγκυρη διαδρομή πιστοποίησης.

Πώς μπορώ να διορθώσω μια ελλιπή αλυσίδα πιστοποιητικών;

Αποκτήστε τα σωστά ενδιάμεσα πιστοποιητικά από την αρχή έκδοσης πιστοποιητικών, διαμορφώστε τον διακομιστή ώστε να παρουσιάζει το φύλλο πιστοποιητικού ακολουθούμενο από τα απαραίτητα ενδιάμεσα και δοκιμάστε την ενημερωμένη διαμόρφωση. Τα ακριβή βήματα εξαρτώνται από το λογισμικό διακομιστή και το σημείο τερματισμού TLS.

Είναι μια αλυσίδα πιστοποιητικών SSL το ίδιο με ένα πιστοποιητικό SSL;

Όχι. Ένα πιστοποιητικό περιέχει πληροφορίες σχετικά με την ταυτότητα και το δημόσιο κλειδί ενός ιστότοπου. Η αλυσίδα είναι η ακολουθία των πιστοποιητικών που χρησιμοποιούνται για τη δημιουργία μιας αξιόπιστης διαδρομής από αυτό το πιστοποιητικό σε μια αποδεκτή άγκυρα εμπιστοσύνης.

Μια έγκυρη αλυσίδα πιστοποιητικών σημαίνει ότι ένας ιστότοπος είναι ασφαλής;

Όχι. Μια έγκυρη αλυσίδα βοηθά στην επαλήθευση της πιστοποιημένης ταυτότητας ενός ιστότοπου σύμφωνα με την πολιτική εμπιστοσύνης του πελάτη. Δεν εγγυάται ότι ο ιστότοπος είναι νόμιμος, απαλλαγμένος από κακόβουλο λογισμικό ή προστατεύεται από ευπάθειες εφαρμογών.