ห่วงโซ่ใบรับรอง SSL คืออะไร? มันทำงานอย่างไร

สายใบรับรอง SSL ช่วยให้เบราว์เซอร์และไคลเอนต์อื่น ๆ ตรวจสอบได้ว่าใบรับรองดิจิทัลของเว็บไซต์เชื่อถือได้ เมื่อคุณเยี่ยมชมเว็บไซต์ผ่าน HTTPS เบราว์เซอร์ของคุณจะตรวจสอบใบรับรอง TLS เพื่อยืนยันว่าระบุโดเมนที่ร้องขอและสามารถตรวจสอบได้ผ่านผู้ออกใบรับรอง (CA) ที่เชื่อถือได้ การตรวจสอบนี้มักจะขึ้นอยู่กับกลุ่มใบรับรองที่เชื่อมต่อใบรับรองของเว็บไซต์กับใบรับรองหลักที่เชื่อถือได้ หากใบรับรองระดับกลางหายไปหรือไม่สามารถตรวจสอบห่วงโซ่ได้ ผู้ใช้อาจพบคำเตือนด้านความปลอดภัยหรือข้อผิดพลาดในการเชื่อมต่อ การทำความเข้าใจวิธีการทำงานของสา���ใบรับรอง SSL ช่วยให้เจ้าของเว็บไซต์ ผู้ดูแลระบบ และผู้เชี่ยวชาญด้านความปลอดภัยแก้ไขปัญหาใบรับรองและรักษาการเชื่อมต่อ HTTPS ที่เชื่อถือได้

ห่วงโซ่ใบรับรอง SSL คืออะไร?

สายใบรับรอง SSL หรือที่เรียกว่าสายใบรับรองที่เชื่อถือได้ คือลำดับของใบรับรองดิจิทัลที่สร้างเส้นทางจากใบรับรองของเว็บไซต์ไปยังผู้ออกใบรับรองหลักที่เชื่อถือได้ แม้ว่า SSL จะยังคงเป็นคำทั่วไป แต่การเชื่อมต่อ HTTPS สมัยใหม่ก็ใช้ Transport Layer Security (TLS)

สายโซ่ทั่วไปประกอบด้วยใบรับรองสามประเภท: ใบรับรองระดับกลางของเว็บไซต์ ใบรับรองระดับกลางตั้งแต่หนึ่งรายการขึ้นไป และใบรับรองหลัก ใบรับรอง leaf ระบุเว็บไซต์หรือเซิร์ฟเวอร์ ใบรับรองระดับกลางอนุญาตให้มีการมอบหมายการออกใบรับรองได้ ในขณะที่ใบรับรองหลักจะทำหน้าที่เป็นจุดยึดที่เชื่อถือได้เมื่อลูกค้าเชื่อถือ

ตัวอย่างเช่น เมื่อเบราว์เซอร์เชื่อมต่อกับเว็บไซต์ HTTPS เบราว์เซอร์จะตรวจสอบใบรับรองของเว็บไซต์และพยายามสร้างเส้นทางที่เชื่อถือได้ผ่านใบรับรองระดับกลางที่มีอยู่ไปยังใบรับรองหลักใน trust store นอกจากนี้ยังตรวจสอบชื่อโฮสต์ วันที่มีผล ลายเซ็นดิจิทัล และข้อกำหนดใบรับรองอื่นๆ ที่เกี่ยวข้อง

สายใบรับรองที่ถูกต้องจะช่วยสร้างข้อมูลประจำตัวของเซิร์ฟเวอร์ระหว่างการจับมือ TLS อย่างไรก็ตาม ไม่ได้พิสูจน์ว่าเว็บไซต์นั้นถูกต้องตามกฎหมาย ปราศจากมัลแวร์ หรือดำเนินการโดยองค์กรที่น่าเชื่อถือ

SSL Certificate Chain of Trust ทำงานอย่างไร

สายใบรับรองที่เชื่อถือได้ช่วยให้เบราว์เซอร์และไคลเอนต์อื่น ๆ ตรวจสอบใบรับรองของเว็บไซต์โดยใช้ใบรับรองที่ออกโดยหน่วยงานที่เชื่อถือได้ ใบรับรองแต่ละใบจะเชื่อมโยงกับหน่วยงานที่ออก โดยสร้างเส้นทางจากใบรับรองของเว็บไซต์ไปยังจุดยึดที่เชื่อถือได้ที่ยอมรับได้

ขั้นตอนที่ 1: เว็บไซต์แสดงใบรับรอง

เมื่อเบราว์เซอร์เชื่อมต่อกับเว็บไซต์ผ่าน HTTPS เซิร์ฟเวอร์จะแสดงใบรับรองลีฟระหว่างการจับมือ TLS ใบรับรองนี้ประกอบด้วยคีย์สาธารณะของเว็บไซต์ ข้อมูลโดเมน รายละเอียดผู้ออก ระยะเวลาที่มีผลบังคับใช้ และลายเซ็นดิจิทัล

เบราว์เซอร์จะตรวจสอบว่าชื่อโฮสต์ที่ร้องขอตรงกับรายการ Subject Alternative Name (SAN) ของใบรับรองหรือไม่ และใบรับรองนั้นเป็นไปตามข้อกำหนดการตรวจสอบที่เกี่ยวข้องหรือไม่

ขั้นตอนที่ 2: ใบรับรองระดับกลางสร้างลิงก์ถัดไป

โดยทั่วไปใบรับรองของเว็บไซต์จะออกโดย CA ระดับกลาง แทนที่จะออกโดย CA หลักโดยตรง ไคลเอ็นต์ใช้คีย์สาธารณะของใบรับรองระดับกลางเพื่อตรวจสอบลายเซ็นบนใบรับรองลีฟ

บางเครือข่ายมีใบรับรองระดับกลางหลายใบ แต่ละลิงก์จะต้องเป็นไปตามกฎการตรวจสอบใบรับรองที่เกี่ยวข้องสำหรับไคลเอ็นต์เพื่อสร้างเส้นทางที่เชื่อถือได้

ขั้นตอนที่ 3: เชนเข้าถึงรูทที่เชื่อถือได้

ใบรับรองหลักเป็นของผู้ออกใบรับรองหลัก และโดยทั่วไปแล้วจะลงนามด้วยตนเอง เบราว์เซอร์และระบบปฏิบัติการจะรักษาใบรับรองหลักที่เชื่อถือได้ตามนโยบายความน่าเชื่อถือของตนเอง

ไคลเอนต์พยายามเชื่อมต่อใบรับรองลีฟผ่านใบรับรองระดับกลางที่จำเป็นกับรูทที่เชื่อถือได้ โดยปกติเซิร์ฟเวอร์ไม่จำเป็นต้องส่งใบรับรองหลักเนื่องจากไคลเอ็นต์มีข้อมูลความน่าเชื่อถืออยู่แล้ว

ขั้นตอนที่ 4: ลูกค้าตรวจสอบเชน

ไคลเอนต์ตรวจสอบลายเซ็นใบรับรอง ระยะเวลาที่มีผล ชื่อโฮสต์ ข้อจำกัดของใบรับรอง และข้อกำหนดอื่น ๆ ที่เกี่ยวข้อง นอกจากนี้ยังอาจตรวจสอบข้อมูลการเพิกถอนใบรับรอง ทั้งนี้ขึ้นอยู่กับการกำหนดค่า

หากไคลเอนต์สร้างเส้นทางที่ถูกต้องและผ่านการตรวจสอบที่จำเป็น ก็สามารถยอมรับใบรับรองของเซิร์ฟเวอร์ได้ มิฉะนั้น การเชื่อมต่ออาจทำให้เกิดคำเตือนใบรับรองหรือล้มเหลว

ใบรับรองหลักกับใบรับรองระดับกลางกับใบรับรอง Leaf

ใบรับรองแต่ละใบในห่วงโซ่มีวัตถุประสงค์เฉพาะ การทำความเข้าใจความแตกต่างเหล่านี้ช่วยให้ผู้ดูแลระบบกำหนดค่า HTTPS ได้อย่าง���ูกต้องและแก้ไขข้อผิดพลาดของใบรับรอง

1. ใบรับรองใบ

ใบรับรองลีฟหรือที่เรียกว่าใบรับรองเอนทิตีปลายทาง จะระบุเว็บไซต์หรือเซิร์ฟเวอร์ ประกอบด้วยคีย์สาธารณะ ข้อมูลโดเมน ผู้ออก วันที่มีผลบังคับใช้ และลายเซ็นดิจิทัล

เซิร์ฟเวอร์แสดงใบรับรองนี้ให้กับลูกค้าระหว่างการจับมือ TLS ลูกค้าตรวจสอบตัวตนและความถูกต้องก่อนที่จะยอมรับการเชื่อมต่อ

2. ใบรับรองระดับกลาง

ใบรับรองระดับกลางเป็นของผู้ออกใบรับรองรองที่ออกใบรับรองหรือมอบหมายให้ออกใบรับรองให้กับหน่วยงานอื่น โดยจะเชื่อมต่อใบรับรองของเว็บไซต์กับใบรับรองหลักที่เชื่อถือได้

CA ระดับกลางอนุญาตให้ CA รูทเก็บคีย์ส่วนตัวแยกกันมากขึ้นในขณะที่มอบหมายการออกใบรับรอง หากใบรับรองระดับกลางที่จำเป็นหายไปและไม่สามารถรับผ่านกลไกอื่นที่มีอยู่ ไคลเอนต์อาจไม่สามารถตรวจสอบห่วงโซ่ได้

3. ใบรับรองหลัก

ใบรับรองหลักเป็นของผู้ออกใบรับรองหลัก และทำหน้าที่เป็นจุดยึดที่เชื่อถือได้เมื่อได้รับการยอมรับจากร้านค้าที่เชื่อถือได้ของลูกค้า โดยทั่วไปจะมีการลงนามด้วยตนเอง แต่การลงนามด้วยตนเองไม่ได้ทำให้ใบรับรองเชื่อถือได้โดยอัตโนมัติ

ไคลเอนต์จะต้องรับรู้รูทว่าเชื่อถือได้ภายใต้นโยบายความน่าเชื่อถือที่กำหนดค่า���ว้

ห่วงโซ่ทั่วไปจึงเป็นไปตามเส้นทางนี้:

ใบรับรองเว็บไซต์ → ใบรับรอง CA ระดับกลาง → ใบรับรองรูทที่เชื่อถือได้

สายโซ่ที่แน่นอนขึ้นอยู่กับผู้ออกใบรับรอง การกำหนดค่าเซิร์ฟเวอร์ และใบรับรองที่ไคลเอ็นต์สามารถใช้ได้

เบราว์เซอร์ตรวจสอบห่วงโซ่ใบรับรอง SSL อย่างไร

เบราว์เซอร์จะตรวจสอบห่วงโซ่ใบรับรองระหว่างการจับมือ TLS เพื่อตรวจสอบว่าข้อมูลประจำตัวของเซิร์ฟเวอร์เชื่อถือได้หรือไม่

การยืนยันชื่อโฮสต์

เบราว์เซอร์จะตรวจสอบว่าโดเมนที่ร้องขอตรงกับรายการ SAN ของใบรับรองหรือไม่ ใบรับรองที่ออกให้example.comอาจไม่ครอบคลุมshop.example.comเว้นแต่จะมีชื่อโฮสต์เพิ่มเติมหรือไวด์การ์ด��ี่เหมาะสมรวมอยู่ด้วย

ชื่อโฮสต์ที่ไม่ตรงกันอาจทำให้เกิดคำเตือนเบราว์เซอร์หรือทำให้การเชื่อมต่อถูกปฏิเสธ

การตรวจสอบลายเซ็นดิจิทัล

ลายเซ็นดิจิทัลช่วยให้ลูกค้าตรวจสอบความสมบูรณ์และความถูกต้องของใบรับรองภายในเส้นทางการรับรอง ลูกค้าใช้คีย์สาธารณะของใบรับรองที่ออกเพื่อตรวจสอบลายเซ็นบนใบรับรองที่กำลังตรวจสอบ

การดำเนินการเข้ารหัสเป็นศูนย์กลางของกระบวนการนี้ สำหรับคำอธิบายที่เกี่ยวข้อง โปรดอ่านคู่มือของ CyberLad ไปที่การแฮชในความปลอดภัยทางไซเบอร์.

ใบรับรองหมดอายุ

ใบรับรองมีช่วงเวลาที่มีผลบังคับใช้ซึ่งกำหนดโดยไม่ก่อนและไม่ใช่หลังจากสาขา ลูกค้าตรวจสอบว่าใบรับรองที่เกี่ยวข้องนั้นถูกต้องหรือไม่ ณ เวลาที่ตรวจสอบ

ใบรับรองระดับกลางหรือระดับกลางที่หมดอายุอาจทำให้การตรวจสอบความถูกต้องไม่สำเร็จ ผู้ดูแลระบบควรตรวจสอบวันหมดอายุและยืนยันว่ามีการติดตั้งใบรับรองที่ต่ออายุอย่างถูกต้อง

Trust Store และเส้นทางใบรับรอง

ไคลเอ็นต์พยายามสร้างเส้นทางที่ถูกต้องจากใบรับรอง leaf ผ่านใบรับรองระดับกลางไปยังจุดยึดที่เชื่อถือได้ที่ยอมรับได้ นอกจากนี้ยังตรวจสอบข้อจำกัดของใบรับรองที่เกี่ยวข้องและข้อกำหนดการใช้งานคีย์อีกด้วย

ร้านค้าที่เชื่อถือได้จะแตกต่างกันไปตามระบบปฏิบัติการ เบราว์เซอร์ และแอปพลิเคชัน ใบรับรองที่เชื่อถือได้ในสภาพแวดล้อมหนึ่งอาจไม่น่าเชื่อถือในสภาพแวดล้อมอื่น

การเพิกถอนใบรับรอง

ใบรับรองสามารถเพิกถอนได้ก่อนวันหมดอายุ หากคีย์ส่วนตัวถูกบุกรุกหรือเงื่อนไขอื่นๆ จำเป็นต้องเพิกถอน ผู้ออกใบรับรองสามารถเผยแพร่ข้อมูลการเพิกถอนผ่านรายการเพิกถอนใบรับรอง (CRL) หรือ Online Certificate Status Protocol (OCSP)

ลักษณะการตรวจสอบการเพิกถอนแตกต่างกันไปในแต่ละไคลเอ็นต์ บางรายใช้ข้อมูลที่แคชไว้หรือกลไกทางเลือก ดังนั้นการตรวจสอบความถูกต้องของลูกโซ่ที่ประสบความสำเร็จไม่ได้หมายความว่าไคลเอ็นต์ทุกเครื่องจะทำการตรวจสอบการเพิกถอนที่เหมือนกันเสมอไป

ข้อผิดพลาดทั่วไปของห่วงโซ่ใบรับรอง SSL และสาเหตุ

ข้อผิดพลาดของสายใบรับรองเกิดขึ้นเมื่อไคลเอ็นต์ไม่สามารถตรวจสอบใบรับรองที่แสดงโดยเซิร์ฟเวอร์ได้ การระบุข้อผิดพลาดเฉพาะเป็นสิ่งสำคัญเนื่องจากแต่ละปัญหาต้องมีการแก้ไขที่แตกต่างกัน

1. ห่วงโซ่ใบรับรองที่ไม่สมบูรณ์

ห่วงโซ่ที่ไม่สมบูรณ์เกิดขึ้นเมื่อเซิร์ฟเวอร์ไม่ได้จัดเตรียมใบรับรองระดับกลางที่จำเป็น และไคลเอนต์ไม่สามารถสร้างเส้นทางที่เชื่อถือได้โดยใช้ใบรับรองอื่นที่มีอยู่

สาเหตุที่พบบ่อย ได้แก่ ใบรับรองระดับกลางหายไป ชุดใบรับรองไม่ถูกต้อง และการเปลี่ยนแปลงการกำหนดค่าหลังการย้ายเซิร์ฟเวอร์

วิธีแก้ไข:รับใบรับรองระดับกลางที่ถูกต้องจากผู้ออกใบรับรองของคุณและกำหนดค่าเซิร์ฟเวอร์ให้แสดงใบรับรองระดับกลางตามด้วยตัวกลางที่จำเป็น

2. ผู้ออกใบรับรองที่ไม่น่าเชื่อถือ

ไคลเอนต์อาจปฏิเสธลูกโซ่เมื่อไม่สามารถเชื่อมต่อใบรับรองกับจุดยึดที่เชื่อถือได้ที่ยอมรับได้ สิ่งนี้สามารถเกิดขึ้นได้กับใบรับรองที่ลงนามด้วยตนเองหรือใบรับรอง CA ส่วนตัวที่ยังไม่ได้ติดตั้งในร้านค้าที่เชื่อถือได้ของไคลเอ็นต์

วิธีแก้ไข:ใช้ CA ที่เชื่อถือได้แบบสาธารณะสำหรับเว็บไซต์สาธารณะ สำหรับแอปพลิเคชันภายใน ให้แจกจ่ายใบรับรองหลักขององค์กรผ่านกระบวนการจัดการความน่าเชื่อถือที่ได้รับอนุมัติ อย่าติดตั้งใบรับรองหลักที่ไม่รู้จักเพียงเพื่อหลีกเลี่ยงคำเตือน

3. ใบรับรองหมดอายุ

ใบรับรองระดับกลางหรือระดับกลางที่หมดอ���ยุอาจทำให้การตรวจสอบความถูกต้องไม่สำเร็จ

วิธีแก้ไข:ตรวจสอบวันที่มีผลบังคับใช้ ต่ออายุหรือเปลี่ยนใบรับรองที่ได้รับผลกระทบ และตรวจสอบให้แน่ใจว่ามีการติดตั้งกลุ่มใบรับรองที่อัปเดตที่จุดสิ้นสุด TLS ที่เกี่ยวข้องทุกจุด

4. ชื่อโฮสต์ไม่ตรงกัน

ชื่อโฮสต์ไม่ตรงกันเกิดขึ้นเมื่อโดเมนที่ร้องขอไม่ครอบคลุมอยู่ในรายการ SAN ของใบรับรอง

วิธีแก้ไข:ติดตั้งใบรับรองที่ครอบคลุมชื่อโฮสต์ที่ร้องขอ ตรวจสอบการตั้งค่าโฮสต์เสมือน การระบุชื่อเซิร์ฟเวอร์ (SNI) และการผูกใบรับรองตัวโหลดบาลานซ์

5. ชุดใบรับรองไม่ถูกต้อง

เซิร์ฟเวอร์อาจแสดงใบรับรองกลางที่ไม่ถูกต้องหรือชุดใบรับรองที่เรียงลำดับไม��ถูกต้อง

วิธีแก้ไข:เปรียบเทียบผู้ออกใบรับรองลีฟกับใบรับรองระดับกลางที่กำหนดค่าไว้ แก้ไขบันเดิลและทดสอบการกำหนดค่าเซิร์ฟเวอร์ก่อนโหลดบริการอีกครั้ง

6. การเพิกถอนหรือความล้มเหลวในการตรวจสอบอื่น ๆ

ใบรับรองอาจไม่ผ่านการตรวจสอบเนื่องจากถูกเพิกถอนหรือไม่เป็นไปตามข้อกำหนดใบรับรองอื่นที่เกี่ยวข้อง

วิธีแก้ไข:ตรวจสอบสถานะของใบรับรองและศึกษาคำแนะนำของ CA ที่ออก เปลี่ยนใบรับรองที่ถูกเพิกถอนและตรวจสอบสาเหตุ การปิดใช้งานการตรวจสอบใบรับรองไม่ใช่วิธีแก้ปัญหาที่ปลอดภัย

วิธีตรวจสอบห่วงโซ่ใบรับรอง SSL

คุณสามารถตรวจสอบห่วงโซ่ใบรับรองของเว็บไซต์สาธารณะโดยใช้บริการทดสอบออนไลน์หรือเครื่องมือบรรทัดคำสั่ง

วิธีที่ 1: ใช้ SSL Labs

การทดสอบเซิร์ฟเวอร์ SSL ของ Qualys SSL Labs วิเคราะห์เซิร์ฟเวอร์ TLS ที่เข้าถึงได้แบบสาธารณะ และรายงานปัญหาเกี่ยวกับใบรับรองและการกำหนดค่า

1. เปิดหน้าการทดสอบ SSL Labs

2. ป้อนโดเมนที่คุณต้องการตรวจสอบ

3. รันการทดสอบและรอการวิเคราะห์

4. ตรวจสอบรายละเอียดใบรับรองและข้อมูลห่วงโซ่

5. ตรวจสอบคำเตือนเกี่ยวกับความน่าเชื่อถือ การหมดอายุ ตัวกลางที่ขาดหายไป หรือการตรวจสอบความถูกต้องของชื่อโฮสต์

SSL Labs มีประโยชน์สำหรับการทดสอบภายนอกโดยไม่ต้องติดตั้งซอฟต์แวร์เพิ่มเติม หลีกเลี่ยงการส่งชื่อโฮสต์หรือระบบภายในที่ละเอียดอ่อน เว้นแต่นโยบายขององค์กรของคุณจะอนุญาตให้ใช้บริการภายนอก

วิธีที่ 2: ตรวจสอบใบรับรองด้วย OpenSSL

OpenSSL สามารถแสดงใบรับรองที่แสดงโดยเซิร์ฟเวอร์ระหว่างการเชื่อมต่อ TLS วิ่ง:

openssl s_client - เชื่อมต่อ example.com:443 \
  - ชื่อเซิร์ฟเวอร์ example.com \
  -showcert

แทนที่example.comกับโดเมนเป้าหมาย

The -เชื่อมต่อตัวเลือกระบุปลายทางและพอร์ต-ชื่อเซิร์ฟเวอร์ตัวเลือกส่งชื่อโฮสต์ผ่าน SNI ในขณะที่- โชว์เซิร์ตแสดงใบรับรองที่ส่งโดยเซิร์ฟเวอร์

สำคัญ:การแสดงใบรับรองไม่ได้พิสูจน์ว่าห่วงโซ่นั้นเชื่อถือได้ ใช้ตัวเลือกการยืนยันเพื่อตรวจสอบเส้นทางใบรับรองและชื่อโฮสต์

วิธีที่ 3: ตรวจสอบเชนและชื่อโฮสต์

เรียกใช้คำสั่งต่อไปนี้เพื่อขอการตรวจสอบใบรับรองและการตรวจสอบชื่อโฮสต์:

openssl s_client \
  -เชื่อมต่อ example.com:443 \
  - ชื่อเซิร์ฟเวอร์ example.com \
  -verify_return_error \
  -verify_hostname example.com

มองหาผลการยืนยันที่สำเร็จ เช่นตรวจสอบรหัสส่งคืน: 0 (ตกลง). ผลลัพธ์ที่แน่นอนจะขึ้นอยู่กับเวอร์ชัน OpenSSL, Trust Store และการตั้งค่าการตรวจสอบ

The -verify_return_errorตัวเลือกทำให้ข้อผิดพลาดในการตรวจสอบถูกส่งกลับ แทนที่จะปล่อยให้คำสั่งดำเนินการต่อหลังจากนั้น ดูเอกสาร OpenSSL s_client อย่างเป็นทางการ

วิธีที่ 4: ตรวจสอบผู้ออกและรายละเอียดการหมดอายุ

หากคุณได้บันทึกใบรับรอง leaf เป็นไฟล์ PEM ให้เรียกใช้:

openssl x509 -in ใบรับรอง pem -noout \
  -เรื่อง -ผู้ออก -วันที่

ข้อมูลนี้จะแสดงหัวข้อของใบรับรอง ผู้ออก และวันที่มีผลบังคับใช้ ใช้เอาต์พุตเพื่อตรวจสอบว่าผู้ออกตรงกับ CA ที่คาดหวังหรือไม่ และใบรับรองอยู่ภายในระยะเวลาที่มีผลบังคับใช้หรือไม่

วิธีแก้ไขห่วงโซ่ใบรับรอง SSL ที่ไม่สมบูรณ์

โดยทั่วไปการแก้ไขห่วงโซ่ที่ไม่สมบูรณ์เกี่ยวข้องกับการระบุตัวกลางที่ขาดหายไป การได้รับชุดใบรับรองที่ถูกต้อง การกำหนดค่าตำแหน่งข้อมูล TLS และการทดสอบผลลัพธ์

ขั้นตอนที่ 1: ระบุระดับกลางที่หายไป

เรียกใช้คำสั่ง OpenSSL ด้านบนหรือใช้ SSL Labs เพื่อตรวจสอบเชน ตรวจสอบว่าเซิร์ฟเวอร์ส่งใบรับรองใดและไคลเอ็นต์สามารถสร้างเส้นทางที่เชื่อถือได้หรือไม่

ความล้มเหลวในการตรวจสอบไม่ได้หมายความว่าสื่อกลางขาดหายไปเสมอไป นอกจากนี้ ให้ตรวจสอบการหมดอายุ ชื่อโฮสต์ไม่ตรงกัน และปัญหาของ trust-store

ขั้นตอนที่ 2: รับชุดใบรับรองที่ถูกต้อง

ดาวน์โหลดใบรับรองระดับกลางที่จำเป็นจากเว็บไซต์อย่างเป็นทางการของผู้ออกใบรับรองหรือพอร์ทัลการจัดการใบรับรอง ยืนยันว่าใบรับรองสอดคล้องกับผู้ออกใบรับรอง Leaf ของคุณ

โดยปกติใบรับรองหลักจะมีอยู่แล้วในร้านค้าที่เชื่อถือได้ของไคลเอ็นต์ และโดยทั่วไปไม่จำเป็นต้องรวมไว้ในชุดใบรับรองของเซิร์ฟเวอร์

ขั้นตอนที่ 3: กำหนดค่า Nginx

สำหรับ Nginx ไฟล์ใบรับรองควรมีใบรับรอง leaf ก่อน ตามด้วยใบรับรองระดับกลางที่จำเป็น

เซิร์ฟเวอร์ {
    ฟัง 443 ssl;
    เซิร์ฟเวอร์_ชื่อ example.com;

    ssl_certificate /etc/ssl/certs/fullchain.pem;
    ssl_certificate_key /etc/ssl/private/example.com.key;
}

เส้นทางเป็นตัวอย่าง ใช้ตำแหน่งที่ถูกต้องสำหรับสภาพแวดล้อมของคุณและตรวจสอบให้แน่ใจว่าคีย์ส่วนตัวได้รับการคุ้มครองโดยสิทธิ์ที่เหมาะสม

ทดสอบการกำหนดค่าก่อนโหลด Nginx ใหม่:

sudo nginx -t

ขั้นตอนที่ 4: ตรวจสอบ Apache และจุดสิ้นสุด TLS อื่น ๆ

การกำหนดค่า Apache สามารถใช้SSLCertificateFileเพื่อจัดเตรียมใบรับรองใบและใบรับรองระดับกลางที่จำเป็น ปฏิบัติตามเอกสารประกอบสำหรับเวอร์ชัน Apache และการปรับใช้ของคุณ

หาก HTTPS สิ้นสุดที่พร็อกซีย้อนกลับ เครือข่ายการจัดส่งเนื้อหา ไฟร์วอลล์แอปพลิเคชันเว็บ หรือโหลดบาลานเซอร์ ให้ตรวจสอบใบรับรองที่ติดตั้งในเลเยอร์นั้น การอัปเดตเฉพาะเซิร์ฟเวอร์ต้นทางจะไม่แก้ไขใบรับรองที่ไม่ถูกต้องซึ่งให้บริการโดยพร็อกซีที่แยกต่างหาก

ขั้นตอนที่ 5: ตรวจสอบการแก้ไข

หลังจากทำการเปลี่ยนแปลงแล้ว ให้รัน OpenSSL และ SSL Labs อีกครั้ง ยืนยันว่าเซิร์ฟเวอร์แสดงใบรับรองที่คาดหวัง และไคลเอ็นต์สามารถตรวจสอบห่วงโซ่และชื่อโฮสต์ได้

สำหรับสภาพแวดล้อมที่มีหลายเซิร์ฟเวอร์หรือจุดสิ้นสุด TLS ให้ทดสอบจุดสิ้นสุดที่เกี่ยวข้องแต่ละจุด ผลลัพธ์ที่สำเร็จบนเซิร์ฟเวอร์เครื่องเดียวไม่ได้รับประกันว่าจุดสิ้นสุดทั้งหมดจะมีการกำหนดค่าเหมือนกัน

แนวทางปฏิบัติที่ดีที่สุดสำหรับห่วงโซ่ใบรับรอง SSL

ใช้ผู้ออกใบรับรองที่เชื่อถือได้

ใช้ CA ที่เชื่อถือได้แบบสาธารณะสำหรับเว็บไซต์สาธารณะ สำหรับแอปพลิเคชันภายใน ให้กระจายความน่าเชื่อถือของ CA ส่วนตัวอย่างปลอดภัยไปยังไคลเอนต์ที่ได้รับอนุญาต

การต่ออายุและการตรวจสอบอัตโนมัติ

ใช้เครื่องมือการจัดการใบรับรองที่รองรับ และ��จ้งเตือนผู้ดูแลระบบก่อนที่ใบรับรองจะหมดอายุ ตรวจสอบว่าใบรับรองที่ต่ออายุได้รับการปรับใช้และให้บริการจริงโดยปลายทางที่เกี่ยวข้อง

ปกป้องคีย์ส่วนตัว

จำกัดการเข้าถึงคีย์ส่วนตัวของใบรับรอง เก็บไว้อย่างปลอดภัย และหลีกเลี่ยงการเปิดเผยในบันทึกหรือที่เก็บข้อมูลสาธารณะ หากคีย์ถูกโจมตี ให้เปลี่ยนใบรับรองที่ได้รับผลกระทบและปฏิบัติตามขั้นตอนการตอบสนองต่อเหตุการณ์และการเพิกถอนที่เหมาะสม

ตรวจสอบหลังจากการเปลี่ยนแปลงการกำหนดค่า

ทดสอบกลุ่มใบรับรองหลังจากการต่ออายุ การย้ายเซิร์ฟเวอร์ การเปลี่ยนแปลงตัวจัดสรรภาระงาน หรือการอัปเดตพร็อกซีแบบย้อนกลับ ตรวจสอบการจับคู่ชื่อโฮสต์ การหมดอายุ การสร้างห่วงโซ่ และข้อผิดพลาดในการยืนยัน

รักษารายการใบรับรอง

บันทึกเจ้าของใบรับรอง โดเมน CA ที่ออก วันหมดอายุ สถานที่ปรับใช้ และวิธีการต่ออายุ สินค้าคงคลังแบบรวมศูนย์ช่วยให้ทีมค้นหาบริการที่ได้รับผลกระทบได้อย่างรวดเร็วในช่วงที่ไฟฟ้าดับ

ตรวจสอบใบรับรองบุคคลที่สาม

ปัญหาเกี่ยวกับใบรับรองอาจส่งผลต่อบริการที่องค์กรของคุณต้องพึ่งพา ไม่ใช่แค่เว็บไซต์ของคุณเอง ตรวจสอบตำแหน่งข้อมูล TLS ภายนอกที่สำคัญ รวมถึงผู้ให้บริการข้อมูลประจำตัว เกตเวย์การชำระเงิน และ API CyberLad อธิบายความเสี่ยงที่กว้างขึ้นนี้ในความเสี่ยงจากบุคคลที่สามห้าประการที่เครื่องสแกนช่องโหว่ของคุณไม่สามารถมองเห็นได้.

ใช้การกำหนดค่า TLS ที่ปลอดภัย

สายใบรับรองที่ถูกต้องเป็นเพียงส่วนหนึ่งของความปลอดภัย HTTPS ใช้เวอร์ชัน TLS ที่รองรับ การตั้งค่าการเข้ารหัสที่เหมาะสม และหลักปฏิบัติในการจัดการคีย์ที่ปลอดภัย ใบรับรองที่เชื่อถือได้ไม่ได้รับประกันว่าแอปพลิเคชันจะปราศจากช่องโหว่

บทสรุป

กลุ่มใบรับรอง SSL เป็นส่วนสำคัญของการรักษาความปลอดภัยของ HTTPS เนื่องจากช่วยให้เบราว์เซอร์และไคลเอนต์อื่นๆ ตรวจสอบใบรับรองของเว็บไซต์ผ่านเส้นทางไปยังผู้ออกใบรับรองที่เชื่อถือได้ การทำความเข้าใจใบรับรองระดับกลาง ระดับกลาง และระดับรากช่วยให้ผู้ดูแลระบบแก้ไขปัญหาห่วงโซ่ที่ไม่สมบูรณ์ ใบรับรองหมดอายุ และข้อผิดพลาดในการเชื่อถือ การตรวจสอบเป็นประจำ การกำหนดค่าเซิร์ฟเวอร์ที่ถูกต้อง การจัดการคีย์ส่วนตัวที่ปลอดภัย และการตรวจสอบหลังการใช้งาน ช่วยรักษาการเชื่อมต่อ TLS ที่เชื่อถือได้ การปฏิบัติตามแนวทางปฏิบัติเหล่านี้ เจ้าของเว���บไซต์และผู้เชี่ยวชาญด้านความปลอดภัยสามารถลดการหยุดชะงักที่เกี่ยวข้องกับใบรับรอง และปรับปรุงความน่าเชื่อถือของโครงสร้างพื้นฐาน HTTPS ของตนได้

คำถามที่พบบ่อย

ห่วงโซ่ใบรับรอง SSL คืออะไร?

สายใบรับรอง SSL คือลำดับของใบรับรองดิจิทัลที่สร้างเส้นทางจากใบรับรองของเว็บไซต์ไปยังผู้ออกใบรับรองหลักที่เชื่อถือได้ โดยทั่วไปจะรวมถึงใบรับรองลีฟและใบรับรองระดับกลางหนึ่งรายการขึ้นไป

ความแตกต่างระหว่างใบรับรองหลักและใบรับรองระดับกลางคืออะไร?

ใบรับรองหลักจะทำหน้าที่เป็นจุดยึดที่เชื่อถือได้เมื่อลูกค้ายอมรับ ใบรับรองระดับกลางจะมอบหมายการออกใบรับรองและเชื่อมต่อใบรับรองลีฟกับรูทที่เชื่อถือได้

เว็บเซิร์ฟเวอร์จำเป็นต้องส่งใบรับรองหลักหรือไม่

โดยปกติแล้วไม่มี โดยปกติเซิร์ฟเวอร์จะส่งใบรับรองลีฟและใบรับรองระดับกลางที่จำเป็น โดยทั่วไปไคลเอ็นต์จะมีใบรับรองหลักที่เชื่อถือได้อยู่แล้วใน trust store

ฉันจะตรวจสอบห่วงโซ่ใบรับรอง SSL ได้อย่างไร

ใช้SSL แล็บเพื่อตรวจสอบเว็บไซต์สาธารณะหรือเรียกใช้openssl s_clientเพื่อตรวจสอบใบรับรองที่แสดงโดยเซิร์ฟเวอร์ รวมตัวเลือกการตรวจสอบชื่อโฮสต์และใบรับรองเมื่อตรวจสอบว่าห่วงโซ่สามารถเชื่อถือได้หรือไม่

อะไรทำให้เกิดห่วงโซ่ใบรับรอง SSL ที่ไม่สมบูรณ์

สาเหตุที่พบบ่อยที่สุดคือไม่มีใบรับรองระดับกลาง ชุดใบรับรองที่ไม่ถูกต้อง การกำหนดค่าที่ล้าสมัย และการตั้งค่า TLS ที่ไม่สอดคล้องกันในเซิร์ฟเวอร์ต่างๆ ยังสามารถป้องกันไม่ให้ไคลเอ็นต์สร้างเส้นทางการรับรองที่ถูกต้องได้

ฉันจะแก้ไขห่วงโซ่ใบรับรองที่ไม่สมบูรณ์ได้อย่างไร

รับใบรับรองระดับกลางที่ถูกต้องจาก CA กำหนดค่าเซิร์ฟเวอร์ให้แสดงใบรับรอง leaf ตามด้วยตัวกลางที่จำเป็น และทดสอบการกำหนดค่าที่อัปเดต ขั้นตอนที่แน่นอนขึ้นอยู่กับซอฟต์แวร์เซิร์ฟเวอร์และจุดสิ้นสุด TLS

สายใบรับรอง SSL เหมือนกับใบรับรอง SSL หรือไม่

ไม่ ใบรับรองประกอบด้วยข้อมูลเกี่ยวกับข้อมูลประจำตัวของเว็บไซต์และคีย์สาธารณะ สายโซ่คือลำดับของใบรับรองที่ใช้เพื่อสร้างเส้นทางที่เชื่อถือได้จากใบรับรองนั้นไปยังจุดยึดที่เชื่อถือได้ที่ยอมรับได้

ห่วงโซ่ใบรับรองที่ถูกต้องหมายถึงเว็บไซต์ปลอดภัยหรือไม่?

ไม่ เครือข่ายที่ถูกต้องจะช่วยยืนยันตัวตนที่ได้รับการรับรองของเว็บไซต์ภายใต้นโยบายความน่าเชื่อถือของลูกค้า ไม่รับประกันว่าเว็บไซต์นั้นถูกต้องตามกฎหมาย ปราศจากมัลแวร์ หรือป้องกันช่องโหว่ของแอปพลิเคชัน