Ma olen sellele augule varem astunud. Ma olen unustanud, kuidas harjutada, aga ma mäletan seda põhimõtet endiselt. Selgita umbkaudu:
Brauseri paigalduspakett salvestab osa juursertifikaatidest (avalikud võtmed), mida ta usaldab.
Turvalisuse huvides hoiavad sertifikaatide väljastajad tavaliselt nende juursertifikaatide privaatvõtmed täiesti eraldatud seifis. Neid juurprivaatvõtmeid kasutatakse seifis mõnede "vahepealsete" sertifikaatide väljastamiseks ning nende vahepealsete sertifikaatide privaatvõtmetel on õigus väljastada järgmise taseme sertifikaat. Need vahepealsed privaatvõtmed paigaldatakse veebiserveritesse, et teenida raha veebilehe sertifikaatide väljastamisega. Kui need serverid on häkitud, saab kirjastaja väljastada tühistamiskorralduse, kasutades füüsiliselt isoleeritud juursertifikaadi privaatvõtit seifis, et kõrvaldada nende vahepealsete sertifikaatide usaldus ilma, et peaks täielikult usaldama kirjastaja juursertifikaati. Allkirjasta uus vahepealse väljastamise tunnistus ja sa oled hea mees, kes suudab raha teenida.
Siin tuleb küsimus.
Brauser tunneb ära ainult juursertifikaadi. Vahepealse sertifikaadi sertifitseerimiseks pead sina (veebileht) väljastama oma sertifikaadi.
Korrektselt konfigureeritud HTTPS-veebileht peaks sisaldama kogu sertifikaadiahelat sertifikaadis.
Näiteks kasuta openssl s_client -connect www.wosign.com:443 käsku, et vaadata Wosigni enda veebilehe konfiguratsiooni.
Ülejäänud sisu võib tähelepanuta jätta, vaata lihtsalt sertifikaadiahela lõiku:
---
Sertifikaadiahel
0 s:/1.3.6.1.4.1.311.60.2.1.3=CN/1.3.6.1.4.1.311.60.2.1.2=Guangdong/1.3.6.1.4.1.311.60.2.1.1=Shenzhen/businessCategory=Private Organisatsioon/seerianumber=440301103308619/C=CN/ST=\xE5\xB9\xBF\xE4\xB8\x9C\xE7\x9C\x81/L=\xE6\xB7\xB1\xE5\x9C\xB3\xE5\xB8\x82/postalCode=518067/street=\xE6\xB7\xB1\ xE5\x9C\xB3\xE5\xB8\x82\xE5\x8D\x97\xE5\xB1\xB1\xE5\x8C\xBA\xE5\x97\xD\x97\xE6\xB5\xB7\xE5\xA4\xA7\xE9\x81\x931057\xE5\x8F\xB7\xE7\xA7\x91\xE6\x8A\x80\xE5\xA4\xA7\xE5\ x8E\xA6\xE4\xBA\x8C\xE6\x9C\x9FA\xE6\xA0\x8B502#/O=WoSign\xE6\xB2\x83\xE9\x80\x9A\xE7\x94\xB5\xE5\xAD\x90\xA4\xE8\xAF\x81\xE6\x9C\x8D\xE5\x8A\xA1\xE6\x9C\x89\ xE9\x99\x90\xE5\x85\xAC\xE5\x8F\xB8/CN=www.wosign.com
i:/C=CN/O=WoSign CA Limited/CN=WoSign Class 4 EV server CA
1 s:/C=CN/O=WoSign CA Limited/CN=WoSign Class 4 EV server CA
i:/C=CN/O=WoSign CA Limited/CN=WoSigni sertifitseerimisasutus
2 s:/C=CN/O=WoSign CA Limited/CN=WoSigni sertifitseerimisasutus
i:/C=IL/O=StartCom Ltd./OU=Secure Digital Certificate Signing/CN=StartCom Sertifitseerimisasutus
---
0, 1 ja 2 on iga sertifikaaditaseme seerianumbrid sertifikaadiahelas. 0 on sertifikaat, mida veebileht kontrollimiseks kasutab. Selle CN peaks vastama veebisaidi domeeninimele.
Pärast iga seerianumbrit viitab s-iga algav rida sertifikaadile ja rida, mis algab i-ga, näitab, kes sertifikaadi väljastas.
On näha, et CN 0 sisaldab kahtlustatavat hiina domeeninime ja ingliskeelset domeeni www.wosign.com. Seda väljastab WoSign CA Limited/CN=WoSign Class 4 EV Server CA.
Sertifikaat 1 on 0 väljastaja. 1 ise väljastatakse teise sertifikaadi, WoSigni sertifitseerimisasutuse poolt.
Vaatame järgmist taset, 2. Seal öeldakse, et WoSigni sertifitseerimisvolituse väljastab StartCom (haha, selgub, et tegemist on alltöövõtjaga!). ）
Pärast sellist vaatamist ütleb brauser, et oh, ma tean 2 väljastajat, ja see on mainitud paigalduspaketis, StartCom. Õige allkiri ja kinnitus, seega usalda 2. Seejärel peaksid usaldama ka 1, mille on väljastanud 2, ja 0, mida väljastab 1. Seega võib seda veebisaiti usaldada.
－－
Kui veebileht on konfigureeritud nii, et see sisaldab CRT-faili ainult iseennast, mitte piisavalt täielikku sertifikaadiahelat, mida brauseri sisseehitatud andmed kontrolliksid, võib brauser selle tagasi lükata. Nagu mis
openssl s_client -ühenda touko.moe:443
---
Sertifikaadiahel
0 s:/CN=touko.moe
i:/C=CN/O=WoSign CA Limited/CN=WoSign CA Tasuta SSL sertifikaat G2
---
Ühes grupis on ainult 0 inimest. Kirjeldus Touko.moe reas s väljastab WoSign CA tasuta SSL sertifikaat G2 reas i. See on kadunud.
See ongi selle lõksu juures kõige hämmastavam: ei pruugi alati tõsi olla, kui brauser sel hetkel ei kontrolli. On kaks olukorda:
V. Ma pole seda kunagi näinud alates brauseri paigaldamisest. Siis valideerimine ebaõnnestub.
B. Kui brauser on varem i näinud ja kinnitanud, siis kinnitamine õnnestub.
Tavaliselt läheb administraator sertifikaadi väljastaja https-veebilehele, et sertifikaati osta, brauser kontrollib selle ja salvestab vahemällu kõik edukalt kinnitatud vahepealsed sertifikaadid, säästes tulevikus aega. Kui administraator (ekslikult) seadistas oma veebilehe ja läks testi sirvima, ei tekkinud tal üldse probleeme. Sest tema brauser tunneb selle vahepealse sertifikaadi juba ära.
Siiski ei pruugi paljud kasutajad olla külastanud teisi korrektselt konfigureeritud veebilehti, mis on väljastatud selle vahepealse sertifikaadi alusel. Seetõttu ebaõnnestub valideerimine, sest see ei leia usaldusväärset väljastajat.
See on võrreldav Volkswageni diiselmootorite heitgaaside kontrolliga. Kõik oli kontrollimisel korras. Niipea kui nad õue jõuavad, panevad nad mürki.
MUUDATUS: Kuidas ...... parandada Tõenäoliselt tuleb lisada SSLCertificateChainFile seade serveri konfigureerimisel ja kasutada sertifikaadi väljastaja veebilehelt pakutud bundle faili (fail sisaldab hulka vahepealseid sertifikaate, et luua seos sinu sertifikaadi ja kõrge usaldusväärsusega sertifikaadi vahel).
|
Postitatud 15.08.2017 21:08:39
|
|
|
