एसएसएल प्रमाणपत्र श्रृंखला क्या है? यह काम किस प्रकार करता है
एक एसएसएल प्रमाणपत्र श्रृंखला ब्राउज़रों और अन्य ग्राहकों को यह सत्यापित करने में मदद करती है कि किसी वेबसाइट के डिजिटल प्रमाणपत्र पर भरोसा किया जा सकता है। जब आप HTTPS पर किसी वेबसाइट पर जाते हैं, तो आपका ब्राउज़र यह पुष्टि करने के लिए उसके TLS प्रमाणपत्र की जाँच करता है कि यह अनुरोधित डोमेन की पहचान करता है और इसे एक विश्वसनीय प्रमाणपत्र प्राधिकरण (CA) के माध्यम से मान्य किया जा सकता है। यह सत्यापन अक्सर वेबसाइट के प्रमाणपत्र को विश्वसनीय रूट प्रमाणपत्र से जोड़ने वाले प्रमाणपत्रों की श्रृंखला पर निर्भर करता है। यदि कोई मध्यवर्ती प्रमाणपत्र गुम है या श्रृंखला को मान्य नह���ं किया जा सकता है, तो उपयोगकर्ताओं को सुरक्षा चेतावनियाँ या कनेक्शन त्रुटियाँ आ सकती हैं। यह समझने से कि एसएसएल प्रमाणपत्र श्रृंखला कैसे काम करती है, वेबसाइट मालिकों, सिस्टम प्रशासकों और सुरक्षा पेशेवरों को प्रमाणपत्र समस्याओं का निवारण करने और विश्वसनीय HTTPS कनेक्शन बनाए रखने में मदद मिलती है।
एसएसएल प्रमाणपत्र श्रृंखला क्या है?
एक एसएसएल प्रमाणपत्र श्रृंखला, जिसे ट्रस्ट की प्रमाणपत्र श्रृंखला भी कहा जाता है, डिजिटल प्रमाणपत्रों का एक अनुक्रम है जो किसी वेबसाइट के प्रमाणपत्र से विश्वसनीय रूट प्रमाणपत्र प्राधिकरण तक एक पथ स्थापित करता है। हालाँकि SSL एक सामान्य शब्द है, आधुनिक HTTPS कनेक्शन ट्रांसपोर्ट लेयर सिक्योरिटी (TLS) का उपयोग करते हैं।
एक विशिष्ट श्रृंखला में तीन प्रकार के प्रमाणपत्र होते हैं: वेबसाइट का लीफ प्रमाणपत्र, एक या अधिक मध्यवर्ती प्रमाणपत्र और एक रूट प्रमाणपत्र। लीफ सर्टिफिकेट वेबसाइट या सर्वर की पहचान करता है। इंटरमीडिएट प्रमाणपत्र प्रमाणपत्र जारी करने की अनुमति देते हैं, जबकि रूट प्रमाणपत्र क्लाइंट द्वारा भरोसा किए जाने पर ट्रस्ट एंकर के रूप में कार्य करता है।
उदाहरण के लिए, जब कोई ब्राउज़र HTTPS वेबसाइट से जुड़ता है, तो यह वेबसाइट के प्रमाणपत्र को मान्य करता है और अपने ट्रस्ट स्टोर में रूट प्रमाणपत्र के लिए उपलब्ध मध्यवर्ती प्रमाणपत्रों के माध्यम से एक विश्वसनीय पथ बनाने का प्रयास करता है। यह होस्टनाम, वैधता तिथियां, डिजिटल हस्ताक्षर और अन्य लागू प्रमाणपत्र आवश्यकताओं की भी जांच करता है।
एक वैध प्रमाणपत्र श्रृंखला टीएलएस हैंडशेक के दौरान सर्वर की पहचान स्थापित करने में मदद करती है। हालाँकि, यह साबित नहीं करता है कि कोई वेबसाइट वैध है, मैलवेयर से मुक्त है, या किसी भरोसेमंद संगठन द्वारा संचालित है।
ट्रस्ट की एसएसएल प्रमाणप���्र श्रृंखला कैसे काम करती है?
ट्रस्ट की प्रमाणपत्र श्रृंखला ब्राउज़रों और अन्य ग्राहकों को विश्वसनीय प्राधिकारियों द्वारा जारी प्रमाणपत्रों का उपयोग करके किसी वेबसाइट के प्रमाणपत्र को मान्य करने की अनुमति देती है। प्रत्येक प्रमाणपत्र एक जारीकर्ता प्राधिकारी से लिंक होता है, जो वेबसाइट के प्रमाणपत्र से एक स्वीकार्य ट्रस्ट एंकर तक का रास्ता बनाता है।
चरण 1: वेबसाइट अपना प्रमाणपत्र प्रस्तुत करती है
जब कोई ब्राउज़र HTTPS पर किसी वेबसाइट से जुड़ता है, तो सर्वर TLS हैंडशेक के दौरान अपना लीफ प्रमाणपत्र प्रस्तुत करता है। इस प्रमाणपत्र में वेबसाइट की सार्वजनिक कुंजी, डोमेन जानकारी, जारीकर्ता विवरण, वैधता अवधि और डिजिटल हस्ताक्षर शामिल हैं।
ब्राउज़र जाँचता है कि क्या अनुरोधित होस्टनाम प्रमाणपत्र के विषय वैकल्पिक नाम (SAN) प्रविष्टियों से मेल खाता है और क्या प्रमाणपत्र लागू सत्यापन आवश्यकताओं को पूरा करता है।
चरण 2: इंटरमीडिएट प्रमाणपत्र अगला लिंक स्थापित करता है
वेबसाइट का प्रमाणपत्र आमतौर पर सीधे रूट सीए के बजाय किसी मध्यवर्ती सीए द्वारा जारी किया जाता है। लीफ़ प्रमाणपत्र पर हस्ताक्षर सत्यापित करने के लिए क्लाइंट मध्यवर्ती प्रमाणपत्र की सार्वजनिक कुंजी का उपयोग करता है।
कुछ श्रृंखलाओं में एकाधिक मध्यवर्ती प्रमाणपत्र होते हैं। विश्वसनीय पथ बनाने के लिए प्रत्येक लिंक को क्लाइंट के लिए प्रासंगिक प्रमाणपत्र-सत्यापन नियमों को पूरा करना होगा।
चरण 3: श्रृंखला एक विश्वसनीय जड़ तक पहुँचती है
रूट प्रमाणपत्र रूट प्रमाणपत्र प्राधिकरण से संबंधित होता है और आमतौर पर स्व-हस्ताक्षरित होता है। ब्राउज़र और ऑपरेटिंग सिस्टम अपनी विश्वसनीय नीतियों के अनुसार विश्वसनीय रूट प्रमाणपत्र बनाए रखते हैं।
क्लाइंट आवश्यक मध्यवर्ती प्रमाणपत्रों के माध्यम से लीफ प्रमाणपत्र को एक विश्वसनीय रूट से जोड़ने का प्रयास करता है। सर्वर को आम तौर पर रूट प्रमाणपत्र भेजने की आवश्यकता नहीं होती है क्योंकि क्लाइंट के पास पहले से ही इसकी ट्रस्ट जानकारी होती है।
चरण 4: क्लाइंट चेन को सत्यापित करता है
क्लाइंट प्रमाणपत्र हस्ताक्षर, वैधता अवधि, होस्टनाम, प्रमाणपत्र बाधाएं और अन्य लागू आवश्यकताओं की जांच करता है। इसके कॉन्फ़िगरेशन के आधार पर, यह प्रमाणपत्र निरस्तीकरण जानकारी की भी जाँच कर सकता है।
यदि क्लाइंट एक वैध पथ बनाता है और आवश्यक जांच पास हो जाती है, तो वह सर्वर के प्रमाणपत्र को स्वीकार कर सकता है। अन्यथा, कनेक्शन प्रमाणपत्र चेतावनी उत्पन्न कर सकता है या विफल हो सकता है।
रूट सर्टिफिकेट बनाम इंटरमीडिएट सर्टिफिकेट बनाम लीफ सर्टिफिकेट
श्रृंखला में प्रत्येक प्रमाणपत्र का एक विशिष्ट उद्देश्य होता है। इन अंतरों को समझने से प्रशासकों को HTTPS को सही ढंग से कॉन्फ़िगर करने और प्रमाणपत्र त्रुटियों का निवारण करने में मदद मिलती है।
1. पत्ता प्रमाणपत्र
लीफ सर्टिफिकेट, जिसे एंड-एंटिटी सर्टिफिकेट भी कहा जाता है, एक वेबसाइट या सर्वर की पहचान करता है। इसमें सार्वजनिक कुंजी, डोमेन जानकारी, जारीकर्ता, वैधता तिथियां और डिजिटल हस्ताक्षर शामिल हैं।
सर्वर टीएलएस हैंडशेक के दौरान क्लाइंट को यह प्रमाणपत्र प्रस्तुत करता है। ग्राहक इसे कनेक्शन के लिए स्वीकार करने से पहले इसकी पहचान और वैधता की जांच करता है।
2. इंटरमीडिएट प्रमाणपत्र
एक मध्यवर्ती प्रमाणपत्र एक अधीनस्थ प्रमाणपत्र प्राधिकारी का होता है जो प्रमाणपत्र जारी करता है या किसी अन्य प्राधिकारी को जारी करने का काम सौंपता है। यह वेबसाइट के प्रमाणप���्र को विश्वसनीय रूट प्रमाणपत्र से जोड़ता है।
इंटरमीडिएट सीए प्रमाणपत्र जारी करते समय रूट सीए को अपनी निजी कुंजी को अधिक अलग रखने की अनुमति देते हैं। यदि आवश्यक मध्यवर्ती प्रमाणपत्र गुम है और किसी अन्य उपलब्ध तंत्र के माध्यम से प्राप्त नहीं किया जा सकता है, तो ग्राहक श्रृंखला को मान्य करने में असमर्थ हो सकता है।
3. मूल प्रमाणपत्र
रूट प्रमाणपत्र रूट प्रमाणपत्र प्राधिकरण से संबंधित होता है और ग्राहक के ट्रस्ट स्टोर द्वारा स्वीकार किए जाने पर ट्रस्ट एंकर के रूप में कार्य करता है। यह आमतौर पर स्व-हस्ताक्षरित होता है, लेकिन स्व-हस्ताक्षरित होने से प्रमाणपत्र स्वचालित रूप से विश्वसनीय नहीं बन जाता है।
क्लाइंट को ���पनी कॉन्फ़िगर की गई ट्रस्ट नीति के तहत रूट को विश्वसनीय के रूप में पहचानना होगा।
फ़ीचर | पत्ता प्रमाण पत्र | इंटरमीडिएट प्रमाणपत्र | मूल प्रमाणपत्र |
|---|---|---|---|
मुख्य उद्देश्य | वेबसाइट की पहचान करता है | प्रतिनिधि प्रमाणपत्र जारी करना | एक ट्रस्ट एंकर के रूप में कार्य करता है |
Issued by | द्वारा जारी किया गया आमतौर पर एक इंटरमीडिएट सीए | एक जड़ या अन्य मध्यवर्ती सीए | सामान्यतः स्व-हस्ताक्षरित |
एक सार्वजनिक कुंजी शामिल है | हाँ | हाँ | हाँ |
सर्वर द्वारा भेजा गया | हाँ | आमतौर पर, जब आवश्यक हो | सामान्यतः आवश्यक नहीं |
सत्यापन में भूमिका | सर्वर की प्रमाणित पहचान स्थापित करता है | पत्ते को ट्रस्ट एंकर से जोड़ता है | ग्राहक विश्वास स्थापित करता है |
इसलिए एक विशिष्ट श्रृंखला इस पथ का अनुसरण करती ह���:
वेबसाइट प्रमाणपत्र → इंटरमीडिएट सीए प्रमाणपत्र → विश्वसनीय रूट प्रमाणपत्र
सटीक श्रृंखला प्रमाणपत्र प्राधिकरण, सर्वर कॉन्फ़िगरेशन और क्लाइंट के लिए उपलब्ध प्रमाणपत्रों पर निर्भर करती है।
ब्राउज़र एसएसएल प्रमाणपत्र श्रृंखला को कैसे सत्यापित करते हैं
ब्राउज़र टीएलएस हैंडशेक के दौरान प्रमाणपत्र श्रृंखलाओं को सत्यापित करते हैं ताकि यह निर्धारित किया जा सके कि सर्वर की पहचान पर भरोसा किया जा सकता है या नहीं।
होस्टनाम सत्यापन
ब्राउज़र जाँचता है कि अनुरोधित डोमेन प्रमाणपत्र की SAN प्रविष्टियों से मेल खाता है या नहीं।के लिए जारी किया गया प्रमाणपत्र example.comकवर नहीं हो सकताshop.example.comजब तक कि अतिरिक्त होस्टनाम या उपयुक्त वाइल्डकार्ड शामिल न हो।
एक होस्टनाम बेमेल ब्राउज़र चेतावनी को ट्रिगर कर सकता है या कनेक्शन को अस्वीकार कर सकता है।
डिजिटल हस्ताक्षर सत्यापन
डिजिटल हस्ताक्षर ग्राहकों को प्रमाणन पथ के भीतर प्रमाणपत्र की अखंडता और प्रामाणिकता को सत्यापित करने में मदद करते हैं। क्लाइंट जांच किए जा रहे प्रमाणपत्र पर हस्ताक्षर को सत्यापित करने के लिए जारीकर्ता प्रमाणपत्र की सार्वजनिक कुंजी का उपयोग करता है।
क्रिप्टोग्राफ़िक ऑपरेशन इस प्रक्रिया के केंद्र में हैं। संबंधित स्पष्टीकरण के लिए, साइबरलैड की मार्गदर्शिका पढ़ेंसाइबर सुरक्षा में हैशिंग.
प्रमाणपत्र समाप्ति
प्रमाणपत्रों की वैधता अवधि उनकेद्वारा परिभाषित होती है पहले नहींऔरबाद में नहींखेत. ग्राहक जाँच करता है कि सत्यापन के समय संबंधित प्रमाणपत्र वैध हैं या नहीं।
एक समाप्त हो चुका पत्ता या मध्यवर्ती प्रमाणपत्र सफल सत्यापन को रोक सकता है। प्रशासकों को समाप्ति तिथियों की निगरानी करनी चाहिए और पुष्टि करनी चाहिए कि नवीनीकृत प्रमाणपत्र सही ढंग से स्थापित किए गए हैं।
ट्रस्ट स्टोर और प्रमाणपत्र पथ
क्लाइंट लीफ प्रमाणपत्र से मध्यवर्ती प्रमाणपत्रों के माध्यम से स्वीकार्य ट्रस्ट एंकर तक एक वैध पथ बनाने का प्रयास करता है। यह लागू प्रमाणपत्र बाधाओं और प्रमुख उपयोग आवश्यकताओं की भी जाँच करता है।
ट्रस्ट स्टोर ऑपरेटिंग सिस्टम, ब्राउज़र और एप्लिकेशन के अनुसार अलग-अलग होते हैं। एक वातावरण में विश्वसनीय प्रमाणपत्र दूसरे वातावरण में विश्वसनीय नहीं हो सकता है।
प्रमाणपत्र निरस्तीकरण
यदि उनकी निजी कुंजियों से छेड़छाड़ की जाती है या अन्य शर्तों के तहत प्रमाणपत्रों को रद्द करने की आवश्यकता होती है, तो प्रमाणपत्रों को उनकी समाप्ति तिथि से पहले रद्द किया जा सकता है। प्रमाणपत्र प्राधिकारी प्रमाणपत्र निरस्तीकरण सूची (सीआरएल) या ऑनलाइन प्रमाणपत्र स्थिति प्रोटोकॉल (ओसीएसपी) के माध्यम से निरस्तीकरण जानकारी प्रकाशित कर सकते हैं।
निरस्तीकरण-जाँच का व्यवहार विभिन्न ग्राहकों में भिन्न-भिन्न होता है। कुछ कैश्ड जानकारी या वैकल्पिक तंत्र का उपयोग करते हैं, इसलिए सफल श्रृंखला सत्यापन का हमेशा यह मतलब नहीं होता है कि प्रत्येक ग्राहक ने समान निरस्तीकरण जांच की है।
सामान्य एसएसएल प्रमाणपत्र श्रृंखला त्रुटियाँ और उनके कारण
प्रमाणपत्र-श्रृंखला त्रुटियाँ तब होती हैं जब कोई क्लाइंट सर्वर द्वारा प्रस्तुत प्रमाणपत्र को सत्यापित नहीं कर पाता है। विशिष्ट त्रुटि की पहचान करना आवश्यक है क्योंकि प्रत्येक समस्या के लिए एक अलग समाधान की आवश्यकता होती है।
1. अपूर्ण प्रमाणपत्र शृंखला
अपूर्ण श्रृंखला तब होती है जब सर्वर एक आवश्यक मध्यवर्ती प्रमाणपत्र प्रदान नहीं करता है और क्लाइंट अन्य उपलब्ध प्रमाणपत्रों का उपयोग करके एक विश्वसनीय पथ नहीं बना सकता है।
सामान्य कारणों में लापता मध्यवर्ती प्रमाणपत्र, गलत प्रमाणपत्र बंडल और सर्वर माइग्रेशन के बाद कॉन्फ़िगरेशन परिवर्तन शामिल हैं।
इसे कैसे ठीक करें:अपने प्रमाणपत्र प्राधिकारी से सही मध्यवर्ती प्रमाणपत्र प्राप्त करें और आवश्यक मध्यवर्ती के बाद लीफ प्रमाणपत्र प्रस्तुत करने के लिए सर्वर को कॉन्फ़िगर करें।
2. अविश्वसनीय प्रमाणपत्र प्राधिकरण
एक ग्राहक किसी श्रृंखला को अस्वीकार कर सकता है जब वह प्रमाणपत्र को स्वीकार्य ट्रस्ट एंकर से नहीं जोड़ सकता है। यह स्व-हस्ताक्षरित प्रमाणपत्रों या निजी सीए प्रमाणपत्रों के साथ हो सकता है जो क्लाइंट के ट्रस्ट स्टोर में स्थापित नहीं किए गए हैं।
इसे कैसे ठीक करें:सार्वजनिक वेबसाइटों के लिए सार्वजनिक रूप से विश्वसनीय सीए का उपयोग करें। आंतरिक अनुप्रयोगों के लिए, अनुमोदित ट्रस्ट-प्रबंधन प्रक्रिया के माध्यम से संगठन का रूट प्रमाणपत्र वितरित करें। केवल चेतावनी को दरकिनार करने के लिए कभी भी अज्ञात रूट प्रमाणपत्र स्थापित न करें।
3. समाप्त प्रमाणपत्र
एक समाप्त हो चुक�� पत्ता या मध्यवर्ती प्रमाणपत्र सफल सत्यापन को रोक सकता है।
इसे कैसे ठीक करें:वैधता तिथियों की जांच करें, प्रभावित प्रमाणपत्र को नवीनीकृत करें या बदलें, और सुनिश्चित करें कि अद्यतन प्रमाणपत्र श्रृंखला प्रत्येक प्रासंगिक टीएलएस समाप्ति बिंदु पर स्थापित है।
4. होस्टनाम बेमेल
होस्टनाम बेमेल तब होता है जब अनुरोधित डोमेन प्रमाणपत्र की SAN प्रविष्टियों द्वारा कवर नहीं किया जाता है।
इसे कैसे ठीक करें:एक प्रमाणपत्र स्थापित करें जो अनुरोधित होस्टनाम को कवर करता हो। वर्चुअल-होस्ट सेटिंग्स, सर्वर नेम इंडिकेशन (एसएनआई), और लोड-बैलेंसर सर्टिफिकेट बाइंडिंग की समीक्षा करें।
5. ग़लत प्रमाणपत्र बंडल
एक सर्वर गलत इंटरमीडिएट प्रमाणपत्र या गलत तरीके ��े ऑर्डर किया गया प्रमाणपत्र बंडल प्रस्तुत कर सकता है।
इसे कैसे ठीक करें:लीफ प्रमाणपत्र के जारीकर्ता की तुलना कॉन्फ़िगर किए गए मध्यवर्ती प्रमाणपत्रों से करें। बंडल को ठीक करें और सेवा को पुनः लोड करने से पहले सर्वर कॉन्फ़िगरेशन का परीक्षण करें।
6. निरसन या अन्य सत्यापन विफलता
एक प्रमाणपत्र सत्यापन में विफल हो सकता है क्योंकि इसे निरस्त कर दिया गया है या किसी अन्य लागू प्रमाणपत्र आवश्यकता को पूरा नहीं करता है।
इसे कैसे ठीक करें:प्रमाणपत्र की स्थिति जांचें और जारी करने वाले सीए के निर्देशों से परामर्श लें। निरस्त प्रमाणपत्र को बदलें और कारण की जांच करें। प्रमाणपत्र सत्यापन अक्षम करना कोई सुरक्षित समाधान नहीं है.
एसएसएल प्रमाणपत्��� श्रृंखला की जांच कैसे करें
आप ऑनलाइन परीक्षण सेवा या कमांड-लाइन टूल का उपयोग करके किसी सार्वजनिक वेबसाइट की प्रमाणपत्र श्रृंखला का निरीक्षण कर सकते हैं।
विधि 1: एसएसएल लैब्स का उपयोग करें
क्वालिस एसएसएल लैब्स एसएसएल सर्वर टेस्ट सार्वजनिक रूप से सुलभ टीएलएस सर्वर का विश्लेषण करता है और प्रमाणपत्र और कॉन्फ़िगरेशन समस्याओं की रिपोर्ट करता है।
एसएसएल लैब्स परीक्षण पृष्ठ खोलें।
वह डोमेन दर्ज करें जिसका आप निरीक्षण करना चाहते हैं।
परीक्षण चलाएँ और विश्लेषण की प्रतीक्षा करें।
प्रमाणपत्र विवरण और श्रृंखला जानकारी की समीक्षा करें।
विश्वास, समाप्ति, अनुपलब्ध मध्यवर्ती, या होस्टनाम सत्���ापन के बारे में चेतावनियों की जाँच करें।
एसएसएल लैब्स अतिरिक्त सॉफ्टवेयर इंस्टॉल किए बिना बाहरी परीक्षण के लिए उपयोगी है। जब तक आपके संगठन की नीतियां किसी बाहरी सेवा का उपयोग करने की अनुमति न दें, तब तक संवेदनशील आंतरिक होस्टनाम या सिस्टम सबमिट करने से बचें।
विधि 2: ओपनएसएसएल
के साथ प्रमाणपत्रों का निरीक्षण करें ओपनएसएसएल टीएलएस कनेक्शन के दौरान सर्वर द्वारा प्रस्तुत प्रमाणपत्र प्रदर्शित कर सकता है। भागो:
ओपनएसएल एस_क्लाइंट -कनेक्ट example.com:443 \
-सर्वरनाम example.com \
-शोसेर्ट्सबदलेंexample.comलक्ष्य डोमेन के साथ.
The -कनेक्टविकल्प गंतव्य और बंदरगाह निर्दिष्ट करता है।-सर्वरनामविकल्प एसएनआई के माध्यम से ह���स्टनाम भेजता है, जबकि-शोसेर्ट्ससर्वर द्वारा भेजे गए प्रमाणपत्र प्रदर्शित करता है।
महत्वपूर्ण:प्रमाणपत्र प्रदर्शित करना यह साबित नहीं करता कि श्रृंखला विश्वसनीय है। प्रमाणपत्र पथ और होस्टनाम की जाँच करने के लिए सत्यापन विकल्पों का उपयोग करें।
विधि 3: श्रृंखला और होस्टनाम सत्यापित करें
प्रमाणपत्र सत्यापन और होस्टनाम जाँच का अनुरोध करने के लिए निम्नलिखित कमांड चलाएँ:
Opensl s_client \
-कनेक्ट example.com:443 \
-सर्वरनाम example.com \
-verify_return_error \
-verify_hostname example.comसफल सत्यापन परिणाम देखें, जैसेरिटर्न कोड सत्यापित करें: 0 (ठीक). सटीक आउटपुट ओपनएसएसएल संस्करण, ट्रस्ट स्टोर और सत्यापन सेटिंग्स पर निर्भर करता है।
The -verify_return_errorविकल्प के कारण सत्यापन त्रुटियाँ कमांड को उनके बाद जारी रखने की अनुमति देने के बजाय वापस आ जाती हैं। देखेंआधिकारिक ओपनएसएसएल s_client दस्तावेज़ीकरण।
विधि 4: जारीकर्ता और समाप्ति विवरण का निरीक्षण करें
यदि आपने लीफ सर्टिफिकेट को पीईएम फ़ाइल के रूप में सहेजा है, तो चलाएँ:
Opensl x509 -incertificate.pem -noout \
-विषय -जारीकर्ता -तिथियांयह प्रमाणपत्र का विषय, जारीकर्ता और वैधता तिथियां प्रदर्शित करता है। यह जांचने के लिए आउटपुट का उपयोग करें कि क्या जारीकर्ता अपेक्षित सीए से मेल खाता है और क्या प्रमाणपत्र इसकी वैधता अवधि के भीतर है।
अपूर्ण एसएसएल प्रमाणपत्र श्रृंखला को कैसे ठीक करें
अपूर्ण श्रृंखला को ठीक करने में आम तौर पर लापता मध्यवर्ती की पहचान करना, सही प्रमाणपत्र बंडल प्राप्त करना, टीएलएस समापन बिंदु को कॉन्फ़िगर करना और परिणाम का परीक्षण करना शामिल है।
चरण 1: लुप्त इंटरमीडिएट की पहचान करें
ऊपर दिए गए OpenSSL कमांड को चलाएँ या श्रृंखला की जाँच करने के लिए SSL लैब्स का उपयोग करें। जांचें कि सर्वर कौन से प्रमाणपत्र भेजता है और क्या क्लाइंट एक विश्वसनीय पथ बना सकता है।
सत्यापन विफलता का मतलब हमेशा यह नहीं होता कि कोई मध्यवर्ती गायब है। समाप्ति, होस्टनाम बेमेल और ट्रस्ट-स्टोर मुद्दों की भी जांच करें।
चरण 2: सही प्रमाणपत्र बंडल प्राप्त करें
अपने प्रमाणपत्र प्राधिकरण की आधिकारिक वेबसाइट या प्रमाणपत्र-प्रबंधन पोर्टल से आवश्यक मध्यवर्ती प्रमाणपत्र डाउनलोड करें। पुष्टि करें कि प्रमाणपत्र आपके लीफ प्रमाणपत्र जारीकर्ता के अनुरूप हैं।
रूट प्रमाणपत्र आमतौर पर क्लाइंट के ट्रस्ट स्टोर में पहले से ही उपलब्ध होता है और आमतौर पर इसे सर्वर के प्रमाणपत्र बंडल में शामिल करने की आवश्यकता नहीं होती है।
चरण 3: Nginx को कॉन्फ़िगर करें
Nginx के लिए, प्रमाणपत्र फ़ाइल में पहले लीफ प्रमाणपत्र होना चाहिए, उसके बाद आवश्यक मध्यवर्ती प्रमाणपत्र होना चाहिए।
सर्वर {
सुनो 443 एसएसएल;
सर्वर_नाम example.com;
ssl_certificate /etc/ssl/certs/fullचेन.pem;
ssl_certificate_key /etc/ssl/private/example.com.key;
}रास्ते उदाहरण हैं. अपने परिवेश के लिए सही स्थानों का उपयोग करें और सुनिश्चित करें कि निजी कुंजी उचित अनुमतियों द्वारा सुरक्षित है।
Nginx को पुनः लोड करने से पहले कॉन्फ़िगरेशन का परीक्षण करें:
सुडो nginx -tचरण 4: अपाचे और अन्य टीएलएस एंडपॉइंट्स की जांच करें
अपाचे कॉन्फ़िगरेशनका उपयोग कर सकते हैं एसएसएलसीसर्टिफिकेटफ़ाइलपत्ता प्रमाणपत्र और आवश्यक मध्यवर्ती प्रमाणपत्र प्रदान करना। अपने अपाचे संस्करण और परिनियोजन के लिए दस्तावेज़ का पालन करें।
यदि HTTPS रिवर्स प्रॉक्सी, सामग्री वितरण नेटवर्क, वेब एप्लिकेशन फ़ायरवॉल, या लोड बैलेंसर पर समाप्त हो जाता है, तो उस परत पर स्थापित प्रमाणपत्र की जांच करें। केवल मूल सर्वर को अपडेट करने से एक अलग प्रॉक्सी द्वारा प्रस्तुत गलत प्रमाणपत्र ठीक नहीं होगा।
चरण 5: समाधान सत्यापित करें
परिवर्तन करने के बाद, ओपनएसएसएल और एसएसएल लैब्स को फिर से चलाएँ। पुष्टि करें कि सर्वर अपेक्षित प्रमाणपत्र प्रस्तुत करता है और क्लाइंट श्रृंखला और होस्टनाम को मान्य कर सकता है।
एकाधिक सर्वर या टीएलएस समाप्ति बिंदु वाले वातावरण के लिए, प्रत्येक प्रासंगिक समापन बिंदु का परीक्षण करें। एक सर्वर पर एक सफल परिणाम यह गारंटी नहीं देता है कि सभी समापन बिंदुओं का कॉन्फ़िगरेशन समान है।
एसएसएल प्रमाणपत्र श्रृंखला सर्वोत्तम अभ्यास
विश्वसनीय प्रमाणपत्र प्राधिकारियों का उपयोग करें
सार्वजनिक वेबसाइटों के लिए सार्वजनिक रूप से विश्वसनीय सीए का उपयोग करें। आंतरिक अनुप्रयोगों के लिए, अधिकृत ग्राहकों को निजी सीए ट्रस्ट सुरक्षित रूप से वितरित करें।
स्वचालित नवीनीकरण और निगरानी
जहां समर्थित हो वहां प्रमाणपत्र-प्रबंधन टूल का उपयोग करें और प्रमा��पत्र समाप्त होने से पहले व्यवस्थापकों को सचेत करें। सत्यापित करें कि नवीनीकृत प्रमाणपत्र वास्तव में प्रासंगिक समापन बिंदुओं द्वारा तैनात और प्रस्तुत किए गए हैं।
निजी कुंजियाँ सुरक्षित रखें
प्रमाणपत्र निजी कुंजियों तक पहुंच प्रतिबंधित करें, उन्हें सुरक्षित रूप से संग्रहीत करें, और उन्हें लॉग या सार्वजनिक रिपॉजिटरी में उजागर करने से बचें। यदि किसी कुंजी से छेड़छाड़ की गई है, तो प्रभावित प्रमाणपत्र को बदलें और उचित घटना-प्रतिक्रिया और निरस्तीकरण प्रक्रियाओं का पालन करें।
कॉन्फ़िगरेशन परिवर्तन के बाद मान्य करें
नवीनीकरण, सर्वर माइग्रेशन, लोड-बैलेंसर परिवर्तन, या रिवर्स-प्रॉक्सी अपडेट के बाद प्रमाणपत्र श्रृंखला का परीक्षण करें। होस्टनाम मिलान, समाप्ति, श्रृंखला निर्माण और सत्यापन त्रुटियों की जाँच करें।
एक प्रमाणप��्र सूची बनाए रखें
प्रमाणपत्र स्वामी, डोमेन, जारी करने वाले सीए, समाप्ति तिथियां, परिनियोजन स्थान और नवीनीकरण विधियां रिकॉर्ड करें। एक केंद्रीकृत इन्वेंट्री टीमों को आउटेज के दौरान प्रभावित सेवाओं को शीघ्रता से ढूंढने में मदद करती है।
तृतीय-पक्ष प्रमाणपत्रों की निगरानी करें
प्रमाणपत्र संबंधी समस्याएं न केवल आपकी अपनी वेबसाइट को बल्कि उन सेवाओं को भी प्रभावित कर सकती हैं जिन पर आपका संगठन निर्भर करता है। पहचान प्रदाताओं, भुगतान गेटवे और एपीआई सहित महत्वपूर्ण बाहरी टीएलएस एंडपॉइंट की निगरानी करें। साइबरलैडमें इस व्यापक जोखिम की व्याख्या करता है पाँच तृतीय-पक्ष जोखिम जो आपका भेद���यता स्कैनर नहीं देख सकता.
सुरक्षित टीएलएस कॉन्फ़िगरेशन का उपयोग करें
एक वैध प्रमाणपत्र श्रृंखला HTTPS सुरक्षा का केवल एक हिस्सा है। समर्थित टीएलएस संस्करण, उपयुक्त क्रिप्टोग्राफ़िक सेटिंग्स और सुरक्षित कुंजी-प्रबंधन प्रथाओं का उपयोग करें। एक विश्वसनीय प्रमाणपत्र यह गारंटी नहीं देता है कि कोई एप्लिकेशन कमजोरियों से मुक्त है।
निष्कर्ष
एसएसएल प्रमाणपत्र श्रृंखला HTTPS सुरक्षा का एक अनिवार्य हिस्सा है क्योंकि यह ब्राउज़र और अन्य ग्राहकों को एक विश्वसनीय प्रमाणपत्र प्राधिकरण के पथ के माध्यम से वेबसाइट के प्रमाणपत्र को मान्य करने की अनुमति देता है। लीफ, इंटरमीडिएट और रूट प्रमाणपत्रों को समझने से प्रशासकों को अपूर्ण श्रृंखलाओं, समाप्त प्रमाणपत्रों और ट्रस्ट त्रुटियों का निवारण करने में मदद मिलती है। नियमित निगरानी, सही सर्वर कॉन्फ़िगरेशन, सुरक्षित निजी-कुंजी प्रबंधन और तैनाती के बाद सत्यापन विश्वसनीय टीएलएस कनेक्शन बनाए रखने में मदद करता है। इन प्रथाओं का पालन करके, वेबसाइट मालिक और सुरक्षा पे���ेवर प्रमाणपत्र-संबंधी व्यवधानों को कम कर सकते हैं और अपने HTTPS बुनियादी ढांचे की विश्वसनीयता में सुधार कर सकते हैं।
अक्सर पूछे जाने वाले प्रश्न
एसएसएल प्रमाणपत्र श्रृंखला क्या है?
एसएसएल प्रमाणपत्र श्रृंखला डिजिटल प्रमाणपत्रों का एक क्रम है जो किसी वेबसाइट के प्रमाणपत्र से विश्वसनीय रूट प्रमाणपत्र प्राधिकरण तक का मार्ग स्थापित करता है। इसमें आमतौर पर लीफ प्रमाणपत्र और एक या अधिक मध्यवर्ती प्रमाणपत्र शामिल होते हैं।
रूट और इंटरमीडिएट सर्टिफिकेट के बीच क्या अंतर है?
क्लाइंट द्वारा स्वीकार किए जाने पर रूट प्रमाणपत्र एक ट्रस्ट एंकर के रूप में कार्य करता है। एक मध्यवर्ती प्रमाणपत्र प्रमाणपत्र जारी करने का प्रतिनिधित्व करता है और लीफ प्रमाणपत्र को विश्वसनीय रूट से जोड़ता है।
क्या वेब सर्वर को रूट प्रमाणपत्र भेजने की आवश्यकता है?
आमतौर पर, नहीं. सर्वर सामान्यतः अपना लीफ प्रमाणपत्र और आवश्यक मध्यवर्ती प्रमाणपत्र भेजता है। क्लाइंट के पास आमतौर पर उसके ट्रस्ट स्टोर में उसका विश्वसनीय रूट प्रमाणपत्र पहले से ही होता है।
मैं एसएसएल प्रमाणपत्र श्रृंखला की जांच कैसे कर सकता हूं?
प्रयोग करेंएसएसएल लैब्सकिसी सार्वजनिक वेबसाइट का निरीक्षण करना, या चलानाओपनएसएल एस_क्लाइंटसर्वर द्वारा प्रस्तुत प्रमाणपत्रों की जांच करना। श्रृंखला पर भरोसा किया जा सकता है या नहीं, इसकी जाँच करते समय होस्टनाम और प्रमाणपत्र सत्यापन विकल्प शामिल करें।
अपूर्ण एसएसएल प्रमाणपत्र श्रृंखला का क्या कारण है?
सबसे आम कारण मध्यवर्ती प्रमाणपत्र का गुम होना है। गलत प्रमाणपत्र बंडल, पुरानी कॉन्फ़िगरेशन और सर्वरों पर असंगत टीएलएस सेटिंग्स भी ग्राहकों को वैध प्रमाणन पथ बनाने से रोक सकती हैं।
मैं अपूर्ण प्रमाणपत्र शृंखला को कैसे ठीक करूं?
सीए से सही मध्यवर्ती प्रमाणपत्र प्राप्त करें, आवश्यक मध्यवर्ती के बाद लीफ प्रमाणपत्र प्रस्तुत करने के लिए सर्वर को कॉन्फ़िगर करें, और अद्यतन कॉन्फ़िगरेशन का परीक्षण करें। सटीक चरण सर्वर सॉफ़्टवेयर और टीएलएस समाप्ति बिंदु पर निर्भर करते हैं।
क्या एसएसएल प्रमाणपत्र श्रृंखला एसएसएल प्रमाणपत्र के समान है?
नहीं, प्रमाणपत्र में वेबसाइट की पहचान और सार्वजनिक कुंजी के बारे में जानकारी होती है। श्रृंखला प्रमाणपत्रों का अनुक्रम है जिसका उपयोग उस प्रमाणपत्र से स्वीकार्य ट्रस्ट एंकर तक एक विश्वसनीय पथ स्थापित करने के लिए किया जाता है।
क्या वैध प्रमाणपत्र श्रृंखला का मतलब यह है कि वेबसाइट सुरक्षित है?
नहीं, एक वैध श्रृंखला ग्राहक की विश्वास नीति के तहत किसी वेबसाइट की प्रमाणित पहचान को सत्यापित करने में मदद करती है। यह गारंटी नहीं देता कि वेबसाइट वैध है, मैलवेयर से मुक्त है, या एप्लिकेशन की कमजोरियों से सुरक्षित है।